08.07.2022 - Attaques par bourrage d’identifiants: rapport et lignes directrices
08.07.2022 - Le dernier rapport des autorités internationales de protection des données (l’Assemblée mondiale pour la protection de la vie privée) consacré aux attaques par bourrage d’identifiants (en anglais credential stuffing) tire la sonnette d’alarme sur ce type de cyberattaque qui fait peser une menace croissante sur les données personnelles. Le rapport s’accompagne de lignes directrices qui détaillent les mesures de sécurité qu’il est possible de prendre pour se protéger.
Les attaques par bourrage d’identifiants (en anglais « credential stuffing ») sont un type de cyberattaque qui exploite l’habitude qu’ont de nombreux internautes d’utiliser les mêmes combinaisons d’identifiants, adresses de courriels et de mots de passe pour différents services en ligne. Lors de ces attaques, menées de façon automatique et souvent à grande échelle, des escrocs réutilisent des données d’accès volées sur un site Internet pour tenter de se connecter à toutes sortes d’autres plateformes en ligne.
Publié sous l’égide de l’Assemblée mondiale pour la protection de la vie privée (AMVP) par un sous-groupe de travail du Groupe de travail sur la coopération internationale en matière d’application de la loi (IEWG) composé du PFPDT et des autorités de protection des données du Royaume-Uni, du Canada, de Gibraltar, de Jersey et de la Turquie, le rapport souligne la recrudescence de ce type d’attaques et livre des conseils sur la manière dont les organisations et le grand public peuvent identifier, prévenir et réduire le risque d’en être victime.
Les lignes directrices destinées aux entreprises visent à leur permettre de cerner les menaces que représentent les attaques par bourrage d’identifiants pour les données personnelles en leur possession et à expliquer les mesures qu’elles peuvent prendre pour atténuer les risques en la matière. Parmi ces dernières, le rapport souligne que l’authentification multifactorielle est le moyen le plus efficace de protéger les comptes en ligne contre les attaques par bourrage d’identifiants.
Bien que ces lignes directrices ne constituent pas des obligations légales pour tous les pays, elles peuvent aider les organisations à se conformer aux lois en matière de protection des données et des renseignements personnels, qui les obligent à protéger les renseignements personnels contre les menaces que représentent les attaques par bourrage d’identifiants.
L’AMVP, qui regroupe plus de 130 autorités de protection des données dans le monde, est l’une des instances internationales les plus importantes pour les autorités chargées de la protection des données et de la vie privée.
Le rapport et les lignes directrices peuvent être consultés ici :
25.05.2022 - Complément au communiqué du 24.05.2022 concernant «mesvaccins.ch»
Suite à de nombreuses demandes, et en complément à son communiqué de presse du 24 mai 2022, le PFPDT précise que l'Office des faillites de Berne-Mittelland ne procédera pas à la suppression des données de vaccination, recommandée par le Préposé, avant la clôture définitive de la procédure de faillite et sans instruction écrite du Préposé en ce sens.
Envoi de données de vaccination par la fondation « mesvaccins »
08.11.2021 - La fondation « mesvaccins » a commencé à envoyer aux utilisateurs de la plateforme leurs données de vaccination en tant que pièce jointe à un e-mail non crypté le vendredi 04.11.2021.
Après avoir terminé la procédure d’établissement des faits concernant « mesvaccins.ch », le PFPDT a conseillé l'OFSP lors de plusieurs rencontres dans le cadre d’un projet de récupération des données et a résumé en détail par écrit les exigences de protection des données pour l'envoi des données de vaccination aux utilisateurs.
Le procédé actuellement mis en œuvre par la fondation est en contradiction avec les exigences demandées par le PFPDT dans son rapport final du 31.08.2021 et vis-à-vis de l'OFSP. L'envoi non crypté de données de santé par e-mail sans procédure d'authentification à plusieurs facteurs n'est pas conforme à la protection des données. La formulation de la lettre d'accompagnement de la Fondation (identique au texte qui a été publié sur le site internet de la fondation le 05.11.2021) donne la fausse impression que la procédure mentionnée a été convenue avec le PFPDT. Ce n'est pas le cas.
Publication du rapport final du PFPDT dans le cadre de la procédure d’établissement des faits concernant mesvaccins.ch
07.09.2021 - Fin juillet 2021, le PFPDT a remis à la fondation meineimpfungen son rapport final dans le cadre de la procédure d’établissement des faits concernant la plateforme mesvaccins.ch (meineimpfungen.ch). Le PFPDT y a formulé trois recommandations portant notamment sur l'intégrité des données et le sort des données en cas d'arrêt de la plateforme. La fondation a accepté les recommandations dans le délai de 30 jours. Le rapport final est publié aujourd'hui.
Après l'achèvement de la procédure d’établissement des faits, la fondation a annoncé qu'elle cesserait ses activités opérationnelles et demanderait sa liquidation. La fondation ne traite plus les demandes d'information et de suppression.
Le PFPDT soutient la fondation et l'Office fédéral de la santé publique (OFSP) dans la recherche d'une solution rapide et pragmatique dans l'intérêt des utilisateurs et utilisatrices concernés et dans le cadre de ses compétences.
23.03.2021 Communiqué de presse: Carnet de vaccination électronique: ouverture d’une procédure contre la fondation « mesvaccins »
13.06.2022 - Externalisation de données personnelles par la Suva vers un cloud de Microsoft
13.06.2022 - En raison de divergences de vues partielles sur le plan juridique, le PFPDT suggère à la Suva de réexaminer l’externalisation des données personnelles vers un cloud exploité par le groupe américain Microsoft.
Le 10 décembre 2021, la Suva a spontanément soumis au PFPDT un dossier intitulé « Risikobeurteilung Projekt Digital Workplace M365 » (en français « Évaluation des risques liés au projet Digital Workplace M365 »). Il s’agissait d’un projet qui concernait le transfert, alors imminent, de données personnelles de la Suva, traitées jusqu’alors on premise (c’est-à-dire sur sa propre infrastructure), dans un centre de calcul exploité sur le territoire suisse par le groupe américain Microsoft.
Après étude du dossier, qui lui a été remis sur une base volontaire, le Préposé salue la décision prise par la Suva de soumettre son projet d’externalisation des données à un examen sous l’angle de la protection des données. Il suggère à la Suva de réévaluer son projet dans les meilleurs délais.
Compte tenu de la large diffusion des produits et prestations de l’entreprise Microsoft tant au sein du secteur privé que des administrations publiques suisses, le projet d’externalisation précité présente un intérêt pour un large public, raison pour laquelle le Préposé a décidé de publier sa prise de position sommaire sur le projet.
D’autre part, comme il n’existe pas encore en Suisse de jurisprudence relative à ce type d’externalisation, le PFPDT publie également, avec l’autorisation de la Suva, la réponse de cette dernière, qui fait apparaître certaines divergences d’opinions.
En fonction de l’évolution de la situation et du droit, le Préposé se réserve le droit d’intervenir ultérieurement d’office en sa qualité d’autorité de surveillance.
Rencontre du PFPDT avec la délégation tunisienne à Berne
12.05.2022 - Le Préposé fédéral à la protection des données et à la transparence, M. Adrian Lobsiger, a rencontré le 11 mai 2022, à Berne, ses homologues tunisiens.
Leurs échanges ont principalement porté sur les différents cadres législatifs et sur les enjeux liés à la numérisation croissante de la société. La coopération internationale joue un rôle incontournable dans les activités du PFPDT et cette rencontre montre l'importance qui lui est accordéedifférents cadres législatifs et sur les enjeux liés à la numérisation croissante de la société.
de gauche à droite: Chawki Gaddes, Président de l'INPDP (Instance nationale de protection des données personnelles) et de l'AFAPDP (Association francophone des autorités de protection des données personnelles); Adrian Lobsiger, Préposé fédéral à la protection des données et à la transparence (PFPDT); Adnen Lassoued, Président de l'INAI (Instance nationale d'accès à l'information)
Piratage de cabinets médicaux en Suisse romande
31.03.2022 - La veille, il a été divulgué que plusieurs cabinets médicaux en Suisse romande avaient été visés par des pirates informatiques, lesquels ont publié de très nombreux dossiers de patients sur le Darknet. Le PFPDT est en contact avec les cabinets en question et attend à ce que les patientes et patients concernés soient informés de manière complète et transparente. Cet incident pointe une fois de plus que les données médicales sensibles en Suisse ne sont pas suffisamment sécurisées.
Le 30 mars dernier, plusieurs médias romands ont rapporté qu'une grande quantité de données médicales avait été publiée sur le Darknet. Le PFPDT est en contact avec les cabinets médicaux concernés et travaille en particulier à ce que les patientes et patients soient correctement informés. Les cabinets visés ont déjà pris les premières mesures pour palier à d'éventuels déficits en matière de protection et de sécurité des données.
Il s’agit là d’une nouvelle alerte qui montre que les données médicales sensibles ne font souvent pas l’objet d’une protection suffisante en Suisse. Le PFPDT espère que les médecins et les représentants de la branche reconnaîtront ainsi l'urgence d'agir en ce domaine.
Update Mitto AG
23.12.2021 - Dans le cadre de l’enquête préliminaire qu’il a ouverte, le PFPDT a pris contact avec Mitto AG et les opérateurs de téléphonie mobile de Suisse.
Ces derniers ont confirmé l’existence d’une collaboration avec Mitto AG, tout en précisant que des mesures techniques de protection empêchaient tout accès illicite aux données personnelles. Compte tenu de ces premiers retours d’information, le PFPDT ne dispose donc pour l’instant d’aucun indice qui donnerait à penser que des abus auraient été commis au détriment de la population suisse.
Le PFPDT recevra dans les prochaines semaines des informations supplémentaires et plus précises sur les faits incriminés. Après évaluation de ces informations, nous déciderons de la marche à suivre et nous informerons le public.
Communication des données des membres de sociétés de tir à un fournisseur de cartes de crédit
15.11.2021 - Début mai, la Fédération sportive suisse de tir (FST) a envoyé à plus de 50 000 tireurs licenciés une nouvelle carte de membre pouvant également servir de carte de crédit. De nombreux tireurs ont contacté le PFPDT pour savoir si la communication de leurs données dans ce cadre était légale.
Le PFPDT a pris contact avec la FST, qui s’est montrée très coopérative.
Le PFPDT a établi qu’il s’agissait en l’occurrence non pas d’un simple traitement de données dans le but d’établir des cartes de licence, mais aussi d’une communication de ces données au fournisseur de cartes de crédit, lequel pourra les utiliser à ses propres fins.
Cette communication doit donc respecter les principes de la loi fédérale sur la protection des données, notamment en matière de finalité et de transparence. Pour ce qui est de la finalité, les statuts de la FST prévoient depuis 2016 la possibilité de communiquer les données des membres à des fins commerciales ainsi que le droit de ces derniers de s’y opposer. La FST a donc bien créé les bases nécessaires à l’utilisation commerciale des données des membres.
Par contre, il est problématique que les informations à ce sujet ne figurent explicitement que dans les statuts de la FST. Les statuts des 36 membres de la fédération et ceux des plus de 2000 sociétés restent dans la plupart des cas muets sur ce point et se contentent de renvoyer de manière générale aux statuts de la FST. Il est par conséquent difficile pour les membres d’avoir connaissance de ces informations et, le cas échéant, de s’opposer à la communication de leurs données. Le PFPDT a donc jugé que la communication des données au fournisseur de cartes de crédit par la FST n’était pas conforme au principe de transparence.
Il a donc été convenu avec la FST que cette dernière informerait une nouvelle fois les tireurs via son site Internet, sa newsletter et son magazine de la communication de leurs données à des fins commerciales et que les personnes qui désirent s’y opposer pourraient le faire simplement en le faisant savoir à la fédération.
La FST s’assurera ensuite que le fournisseur de cartes de crédit traite séparément les données des personnes qui ne souhaitent pas utiliser leur carte de membre comme carte de crédit et ne les utilise pas à ses propres fins, par exemple pour des activités de marketing ou de promotion. Quant aux personnes qui ne veulent absolument pas d’une carte de membre qui soit aussi une carte de crédit, elles pourront continuer à participer aux événements en indiquant leur numéro de membre et en présentant une pièce d’identité.
Prise de position du PFPDT sur la transmission de données personnelles à la Securities and Exchange Commission des États-Unis (SEC)
04.08.2021 - Le PFPDT a fait la prise de position suivante à l'intention de la Securities and Exchange Commission (SEC) des États-Unis sur la question de l'admissibilité de la transmission de données personnelles des gestionnaires de fortune suisses à l'autorité de surveillance américaine :
Arrêt de la Cour de justice de l’Union européenne (CJUE) sur les clauses contractuelles types européennes et le bouclier de protection des données entre l'UE et les États-Unis (EU-US Privacy Shield)
16.07.2020 - Dans son arrêt du 16 juillet 2020 dans l'affaire C-311/18 Commissaire à la protection des données contre Facebook Ireland Ltd et Maximilian Schrems, la Cour de justice a invalidé la décision 2016/1250 sur le caractère adéquat de la protection assurée par le bouclier de protection des données entre l'UE et les États-Unis. En revanche, la décision 2010/87 de la Commission européenne relative aux clauses contractuelles types pour le transfert de données à caractère personnel vers des sous-traitants établis dans des pays tiers reste valide.
Le PFPDT a pris connaissance de l'arrêt de la CJUE. Cet arrêt n'est pas directement applicable à la Suisse. Le PFPDT va examiner le jugement en détail et le commentera en temps utile.
Communiqué du PFPDT du 08.09.2020: Le PFPDT estime que le bouclier de protection des données Suisse – États-Unis n’offre pas un niveau de protection des données adéquat
Quelles sont les conséquences du Brexit dans le domaine des flux transfrontières de données ?
31.01.2020 - Après le référendum sur la sortie du Royaume-Uni de l’Union européenne (Brexit), qui s’est tenu en juin 2016, le gouvernement britannique a annoncé sa décision de quitter l’UE. Le retrait a lieu le 31 janvier dernier.
Transmission de données personnelles à l’étranger selon la loi sur la protection des données (LPD) en vigueur
La transmission de données à l’étranger est régie par l’art. 6 LPD. Cet article prévoit que des données ne peuvent être communiquées à l’etranger qu’à la condition que le pays de destination connaisse un niveau de protection des données adéquat (art. 6, al. 1, LPD) ou alors, en l’absence d’une telle réglementation, qu’il connaisse des dispositions ou des garanties suffisantes (art. 6, al. 2, let. a et g, LPD). En vertu de l’art. 31, al. 1, let. d, LPD, le préposé à la protection des données (préposé) peut déterminer si le niveau de protection dans un pays donné est adéquat et permet la transmission de toutes les données, ce qui est le cas en particulier lorsque le destinataire des données est soumis à une loi qui offre un niveau de protection comparable à celle du droit suisse (garantie des droits de la personne concernée, respect des principes fondamentaux, autorité de surveillance indépendante). Une liste des pays qui répondent à ces exigences est publiée sur le site du préposé. Cette liste est régulièrement mise à jour.
Royaume-Uni et Gibraltar
Le Royaume-Uni et Gibraltar font actuellement partie des États dont la législation assure un niveau de protection adéquat et le préposé ne dispose pas d’indices qui pourraient laisser prévoir un changement de statut. En prévision du Brexit, l’autorité britannique de protection des données personnelles (Information Commissioner’s Office, ICO) a indiqué sur son site qu’après le 1er février 2020, le Royaume-Uni continuerait d’offrir un degré élevé de protection des données personnelles.
Si le préposé devait contre toute attente envisager de modifier sa liste quant au statut du Royaume-Uni et de Gibraltar, il informerait les entreprises en temps voulu de manière à ce qu’elles puissent se préparer en concluant des accords types.
L’UE décidera d’ici la fin de l’année si elle reconnaît l’adéquation de la législation sur la protection des données du Royaume-Uni. Le préposé suit l’évolution de la situation avec attention.
Règlement général de l'UE sur la protection des données: les conséquences pour la Suisse
14.12.2017 - Le nouveau Règlement européen sur la protection des données (RGPD) entrera en vigueur le 25 mai 2018 dans toute l’Union européenne (UE). À partir de cette date, le RGPD sera directement applicable à tous les acteurs actifs sur le territoire de l’Union européenne. Les nouvelles règles consistent à donner aux citoyens plus de contrôle sur leurs données personnelles, à responsabiliser davantage les entreprises tout en réduisant leurs charges déclaratives et à renforcer le rôle des autorités de protection des données. Ce texte aura des répercussions directes sur un grand nombre d’entreprises suisses.
24.08.2017 - Le PFPDT a élaboré une brochure pratique au sujet du Swiss-US Privacy Shield. Elle informe de manière simple et compréhensible sur les obligations des entreprises certifiées, les droits des personnes concernées et comment ces dernières peuvent déposer une réclamation.
Le PFPDT recommande l’utilisation du certificat Covid light
08.09.2021 - Le PFPDT a accompagné le développement du certificat Covid en s’assurant que ce certificat soit conçu dans le respect de la protection des données. Le PFPDT salue le fait que le certificat Covid constitue désormais le seul moyen de preuve de la vaccination, de la guérison ou du résultat négatif, se substituant à tous les autres.
Ce certificat a été complété par une version « light » ne contenant plus aucune donnée de santé. Eu égard à l’extension temporaire du certificat obligatoire aux personnes de plus de 16 ans que le Conseil fédéral a décidée le 8 septembre, le PFPDT recommande l’utilisation de cette version light.
L’extension du certificat aux espaces clos (tels que les restaurants, les bars ou encore les installations de loisirs comme les musées, les bibliothèques, les zoos, les centres de fitness, les piscines couvertes ou les casinos) doit être jugée proportionnée sur le plan de la protection des données si elle constitue du point de vue épidémiologique une mesure nécessaire et appropriée pour combattre la pandémie. La démonstration en incombe à l’office compétent, dont les constatations et évaluations guident le PFPDT.
En ce qui concerne l’extension du certificat au lieu de travail, le PFPDT relève que l’employeur peut exiger la présentation d’un certificat dans le cadre de son devoir de diligence, par exemple en vue de prendre des mesures de protection ou de mettre en œuvre un programme de tests. Le PFPDT considère comme positif que la possibilité de se limiter à un certificat light soit explicitement mentionnée. Du point de vue de la protection des données, ce certificat est toujours à privilégier lorsqu’il est indifférent que la personne ait été testée négative, vaccinée ou qu’elle soit guérie.
Activer le certificat light en deux clics : à partir du certificat Covid, faites défiler la page vers le bas, appuyez sur « certificat light », faites également défiler vers le bas la page suivante et appuyez sur « activer ».
Le PFPDT recommande d’utiliser le certificat light pour lutter contre le COVID lors de manifestations en Suisse
19.07.2021 - Le certificat light peut facilement être généré à partir de la dernière version de l’application COVID Certificate. Il respecte la protection des données et ne contient pas de données relatives à la santé. Le PFPDT recommande de l’utiliser dans le cadre de manifestations en Suisse.
Le Préposé fédéral à la protection des données et à la transparence (PFPDT) surveille les travaux en lien avec le certificat COVID destiné aux voyages à l’étranger. Dans ce contexte, il a demandé à la Confédération de proposer, en sus du certificat COVID, un certificat light contenant moins de données. Ce certificat light peut être généré facilement à partir de la dernière version de l’application COVID Certificate :
Le PFPDT recommande à la population d’utiliser ce certificat respectueux de la protection des données en Suisse, dans la mesure où il contient moins de données (notamment lors de grandes manifestations).
Si vous activez le certificat light dans l’application du certificat normal, vous générerez un nouveau code QR ne contenant pas de données sur la santé. Le certificat light ne contient que les informations nécessaires à votre identification, ainsi qu’une signature électronique. Dès lors, aucune donnée relative à votre santé, comme p.ex. le vaccin utilisé, ne s’affichera lorsque vous vous ferez contrôler à l’entrée d’une manifestation. Un tel risque n’est en revanche pas exclu lorsque le certificat normal est contrôlé au moyen d’une application autre que celle proposée par la Confédération (COVID Certificate Check). Le certificat light est infalsifiable, mais ne peut être utilisé qu’en Suisse et doit être renouvelé dans l’application après 48 heures. Ce délai bref a été choisi pour qu’il ne soit pas possible de savoir si le certificat a été délivré suite à un test, une vaccination ou une guérison.
Développements de la procédure «SocialPass»
22.06.2021 - Après la résiliation du mandat par les représentants communs des exploitants de SocialPass, la procédure de surveillance en cours fait face à de possibles nouveaux retards. Le 18 juin 2021, les exploitants ont revoqué la demande de récusation déposée le 27 mai 2021, qui était dirigée contre le personnel du PFPDT chargé de la gestion de la procédure. Ce dernier a depuis entamé des échanges directs avec les exploitants. Ces discussions visent à remédier le plus rapidement possible aux déficiences identifiées et à rapidement clôre la procédure.
Le certificat COVID-19 répond à des exigences essentielles de la surveillance en matière de protection des données
04.06.2021 - Lors de sa conférence de presse d’aujourd’hui, le Conseil fédéral a informé de la création et de la mise en service du certificat COVID-19. La possibilité de fournir des certificats sur papier et la création d’un code bidimensionnel (code-barres) supplémentaire, nécessitant un minimum de données, pour son utilisation en Suisse, répondent à des exigences essentielles de la surveillance en matière de protection des données.
En vertu de la fonction de conseil que lui confère la loi, le PFPDT a accompagné l’Office fédéral de la santé publique (OFSP) et l’Office fédéral de l’informatique et de la télécommunication (OFIT), au cours des dernières semaines, dans le cadre du développement juridique et technique du certificat COVID-19. Les deux offices ont donné suite à la plupart des exigences formulées par le PFPDT en matière de protection des données.
D’une part, nous nous félicitons du fait que le certificat ne sera pas uniquement fourni sous forme électronique mais également sur papier, ce qui n’obligera pas à avoir constamment son téléphone avec soi.
D’autre part, nous avons obtenu que l’OFIT soit chargé de développer un code-barres nécessitant un minimum de données pour l’utilisation du certificat en Suisse, en plus du code-barres compatible avec celui de l’Union européenne pour les déplacements transfrontières. Ce deuxième code-barres empêche que la minimisation des données puisse être vidée de sa substance lors de la lecture du certificat. Celui qui utilise ce deuxième code empêche que quelqu’un puisse établir indûment, en utilisant un logiciel non autorisé, pour quelle raison le certificat apparaît valable ou non valable à la lecture. Les personnes chargées des contrôles à l’entrée d’une grande manifestation, par exemple, n’ont aucune raison de savoir si les personnes qui souhaitent entrer sont titulaires d’un certificat de vaccination, de guérison ou de test.
Les informations concernant la vaccination, la guérison et les tests, sont des données sur la santé, aussi le PFPDT estime-t-il préoccupant que pendant la période transitoire précédant la mise en service du certificat COVID-19, des « preuves suffisantes » puissent être acceptées pour les grandes manifestations pilotes. Il déplore également que le code-barres nécessitant un minimum de données ne puisse être mis à la disposition du public que dans un deuxième temps. Il veillera à ce que ces règles transitoires ne s’appliquent que pendant la période la plus courte possible.
Certificat de vaccination contre le COVID-19 conforme aux exigences de la protection des données : accompagnement du projet de l’OFSP
13.04.2021 - Dans le cadre du groupe de projet mis sur pied par l’OFSP en vue de l’introduction d’un certificat de vaccination contre le COVID-19, le PFPDT veille à ce que celui-ci soit conçu conformément aux exigences de la protection des données. Les exigences du PFPDT concordent, pour l’essentiel, avec l’avis conjoint du Comité européen de la protection des données et du Contrôleur européen de la protection des données concernant la proposition de règlement relatif au « certificat vert numérique » de l’UE.
L’OFSP a créé un groupe de projet chargé d’établir un certificat de vaccination contre le COVID-19 uniforme, infalsifiable et reconnu au niveau international. Le PFPDT y participe dans le cadre de son obligation légale de conseil et veille à ce que le mandat législatif prévu à l’art. 6a de la loi COVID-19 soit mis en œuvre dans le respect de la protection des données. Cette disposition définit les exigences applicables au certificat prouvant que son titulaire a été vacciné contre le COVID-19, qu’il en est guéri ou qu’il dispose d’un résultat de test du dépistage du COVID-19. Le certificat doit par conséquent être personnel, infalsifiable et, dans le respect de la protection des données, vérifiable. Il doit par ailleurs être conçu de manière que seule une vérification décentralisée ou locale de son authenticité et de sa validité soit possible et qu’il puisse, dans la mesure du possible, être utilisé par son détenteur pour entrer dans d’autres pays et en sortir.
En accompagnant le projet, le PFPDT veillera en particulier à ce que l’utilisation future du certificat – s’il devait être utilisé par des acteurs privés dans le cadre d’une collecte systématique de données vaccinales ou d’autres données personnelles en vue de donner accès à des biens ou services – soit conforme aux exigences légales de protection des données. Pour ce faire, le PFPDT estime que non seulement des conditions de droit public doivent être fixées dans le droit d’exécution, mais aussi que les acteurs privés sont tenus de garantir les principes de protection des données de la LPD : le traitement des données par des personnes privées doit notamment être proportionné, acceptable et transparent. En outre, le PFPDT a déjà exigé publiquement à plusieurs reprises que l’introduction prévue du certificat ne conduise pas à une obligation générale de porter un smartphone sur soi (voir à ce sujet notre communication du 22.01.2021). Il salue donc le fait que le certificat de vaccination sera disponible aussi bien sur papier que sous forme électronique.
Les demandes du PFPDT vont pour l’essentiel dans le sens de l’avis conjoint du Comité européen de la protection des données et du Contrôleur européen de la protection des données du 31 mars 2021 concernant le projet de règlement de la Commission européenne relatif au « certificat vert numérique ». Dans leur avis, les deux organes susmentionnés soulignent que le « certificat vert numérique » doit reposer sur une base juridique suffisante et notamment respecter les principes d’efficacité, de nécessité, de proportionnalité et de non-discrimination. Ils précisent par ailleurs que le « certificat vert numérique » doit également être disponible sur papier, ce que le PFPDT demande aussi.
Exigences de protection des données pour la collecte de données sur la santé par des acteurs privés dans le cadre de la lutte contre la pandémie
22.01.2021 - La lutte contre la pandémie implique de plus en plus l'utilisation d'applications à installer sur les smartphones, lesquels contiennent généralement des informations importantes sur la vie numérique de leurs propriétaires. On pense notamment à SwissCovid, lancée par la Confédération, et aux « Tracing App » d'entreprises privées destinées à faciliter le traçage des contacts dans les cantons.
Maintenant que les tests rapides et les vaccins sont disponibles pour lutter contre la pandémie actuelle, plusieurs acteurs privés ont annoncé qu'ils envisageaient, le moment venu, de rendre certains biens et services accessibles uniquement aux personnes qui présenteraient des résultats de tests négatifs ou une preuve qu'elles ont été vaccinées.
Si des acteurs privés se procurent des données sur la santé de particuliers dans le contexte de la pandémie, ils doivent respecter non seulement les dispositions de droit public sur les plans de protection contre la pandémie, mais aussi celles de la loi fédérale sur la protection des données (LPD), notamment les principes de proportionnalité et de finalité. Conditionner l'accès à des biens ou services privés à la présentation de données sur la santé peut porter atteinte à la personnalité des personnes concernées. Or, conformément aux articles 28 alinéa 2 CC et 13 LPD, les atteintes à la personnalité ne peuvent être justifiées que par le consentement de la victime, par un intérêt prépondérant privé ou public, ou par la loi.
La question de savoir si la demande et l'éventuel traitement ultérieur de données relatives à des tests ou des vaccins constituent une violation de la personnalité et, le cas échéant, si elle est justifiée dépend du cas d'espèce, ce d'autant plus que ni le droit public ni le droit privé ne contiennent des règles exhaustives à ce sujet. Le PFPDT se félicite donc que les offices fédéraux compétents en la matière élaborent actuellement à l'intention du Conseil fédéral une étude sur différentes règlementations possibles et leurs conséquences.
Indépendamment de l'adoption ou non d'une règlementation, le PFPDT doit s'attendre à ce que des acteurs privés décident à tout moment d'exiger systématiquement des données personnelles, notamment en lien avec les tests et les vaccins. Il attire donc l'attention sur les exigences en matière de protection des données à respecter pour conditionner l'accès à des biens ou des services à la présentation de données personnelles :
Adéquation du traitement : conformément au principe de la proportionnalité prévu dans la LPD, l'acquisition et le traitement des données personnelles doivent être en adéquation avec la finalité poursuivie. Pour évaluer si la collecte privée et l'éventuel traitement des résultats des tests et de la vaccination sont susceptibles de contribuer de manière significative à la protection contre la transmission et la maladie, il convient de tenir compte des avis des autorités sanitaires compétentes, notamment l'Office fédéral de la santé publique, sur pertinence des tests et sur les effets de la vaccination. Les avis et les publications de ces autorités spécialisées doivent servir de bases à l'évaluation sous l’angle de la protection des données.
Caractère acceptable du traitement : Il doit être renoncé à la collecte des données à caractère personnel susmentionnées si l'accès aux biens ou aux services en dépend, si la renonciation à ceux-ci n’est pas acceptable et si leur accès peut être garanti d'une autre manière.
Ampleur du traitement et sécurité des données : une fois la question de l'accès clarifiée, les données personnelles ne doivent être ni gardées ni transmises, sauf si un traitement ultérieur de ces données est absolument nécessaire, objectivement justifié ou exigé expressément par les personnes concernées. Si un traitement ultérieur est nécessaire, il doit être limité dans son ampleur et sa durée au minimum nécessaire pour lutter contre la pandémie. En outre, la sécurité des données doit être assurée par des mesures techniques et organisationnelles appropriées.
Méthode du traitement : certaines personnes ne veulent pas montrer un smartphone équipé d’une certaine application créée dans le but de lutter contre la pandémie de peur que des informations sur leur vie numérique ne soient transmises. D'autres personnes ne peuvent simplement pas le faire en raison de leur âge, de leur santé ou d'un handicap. Pour celles-ci, il convient de proposer d'autres solutions appropriées utilisables dans des conditions comparables.
Transparence du traitement : les personnes concernées doivent être informées de manière complète et compréhensible de la finalité et des modalités de la collecte et de tout traitement ultérieur de leurs données personnelles.
Le PFPDT suit l'évolution de la situation et se réserve le droit de prendre des mesures de surveillance à l'encontre des acteurs privés s'il estime que ceux-ci ne respectent pas les exigences de la LPD. Il se réserve aussi le droit de réévaluer ou compléter les exigences susmentionnées si des développements ou découvertes scientifiques l'exigent.
Collecte des coordonnées : les exploitants doivent garantir la protection des données
29.10.2020 - La collecte des coordonnées destinée au traçage des contacts est prévue par la loi. L’ordonnance COVID-19 situation particulière précise quelles sont les données qui peuvent être collectées et dans quel but. Les exploitants et les organisateurs sont cependant libres de décider de la manière dont ces données sont collectées. L’utilisation d’applications est autorisée, à condition qu’elle respecte le cadre légal de la protection des données.
Face à l’augmentation rapide du nombre de cas, les mesures de lutte contre la pandémie sont actuellement renforcées, en particulier le traçage « classique » des contacts, qui vise à interrompre les chaînes de contamination.
La loi sur les épidémies constitue la base légale permettant le traçage des contacts. L’ordonnance COVID-19 situation particulière contient quant à elle les dispositions d’exécution concernant les mesures relatives aux installations, établissements et manifestations accessibles au public.
Sur la base de ces dispositions, les exploitants d'installations et d'établissements accessibles au public ainsi que les organisateurs d'événements sont tenus, sous certaines conditions, de collecter les données de contact des visiteurs. Les catégories de données à collecter sont définies ; les données ne peuvent être collectées qu’à des fins de traçage et doivent être supprimées après 14 jours. Les cantons peuvent prévoir ponctuellement des mesures supplémentaires et donc aussi une collecte des données plus étendue, pour autant que les exigences du droit de la protection des données soient respectées.
L’ordonnance laisse expressément ouverte la manière dont la collecte de données est mise en œuvre, mais l’exploitant ou l’organisateur demeure entièrement responsable de la confidentialité des données ainsi que de la sécurité des données.
Il est ainsi autorisé de collecter des données au moyen d’une application informatique. Il existe aujourd’hui un grand nombre de ces applications, notamment dans le secteur de la restauration ou dans le cadre de manifestations. Comme pour les autres méthodes de collecte, l’utilisation d’une telle application doit s’inscrire dans le cadre de la protection des données, les exploitants et les organisateurs restant responsables de la confidentialité et de la sécurité de ces données. Ils doivent notamment s’assurer que seules les données mentionnées dans l’ordonnance sont traitées (et, le cas échéant, dans les actes édictés par les cantons à titre complémentaire) et que ces données – comme il a été dit plus haut – sont supprimées au terme d’un délai de 14 jours.
La collecte d’autres données ou l’utilisation des données à des fins autres que le traçage des contacts, comme l’envoi de publicité en ligne, n’est autorisé qu’avec le consentement des personnes concernées. On s’assurera toutefois que ces personnes sont informées expressément de ce traitement ultérieur des données et qu’elles peuvent s’y opposer à tout moment sans que cela leur porte préjudice. Comme ces applications sont souvent installées spontanément sur place lors de la visite d’installations, d’établissements ou de manifestations, toute utilisation des données collectées à des fins autres que celles qui sont prévues par la loi devrait prendre la forme d’un régime d’opt-in, prévoyant un consentement explicite.
Par ailleurs, il découle des principes généraux du droit de la protection des données que pour les personnes qui ne portent pas un téléphone mobile sur elles, un autre moyen de collecter leurs coordonnées, comme notamment des listes en papier, doit être prévu. Cette position du PFPDT est valable sous réserve d’une décision ultérieure de la part des tribunaux compétents.
Update Proximity Tracing App: La sécurité technique de l’appli SwissCovid est confirmée
12.06.2020 - Après appréciation du rapport «Risk Estimation Proximity Tracing» du NCSC publié ce jour, le PFPDT confirme son évaluation selon laquelle le système suisse de traçage de proximité exploité par l’Office fédéral de la santé publique et l’appli SwissCovid respectent les exigences en matière de protection des données.
Le PFPDT est conscient du fait que la non-divulgation de l’API (application programming interface), c’est-à-dire l’interface de programmation de Google et d’Apple relative à l’appli SwissCovid, fait l’objet de critiques publiques. Cet état de fait ne constitue toutefois pas une nouveauté. L’analyse d’impact relative à la protection des données personnelles du 1er mai 2020 ainsi que le rapport publié ce jour par le Centre national pour la cybersécurité (NCSC) du 28 mai 2020 signalaient déjà cette non-divulgation.
Les interfaces standardisées à l’échelle mondiale avec leurs systèmes d’exploitation sous-jacents constituent la base de l’appli SwissCovid. Le code source des systèmes d’exploitation et des interfaces n’est pas disponible, ou en partie seulement. Là encore, il s’agit d’un fait connu qui ne concerne pas uniquement l’appli SwissCovid.
Le PFPDT estime que comparée à l’utilisation quotidienne par la population des appareils intelligents de Google et d’Apple, l’utilisation de l’API des deux fabricants pour l’appli SwissCovid ne représente pas un risque significativement supérieur pour les données personnelles. Et quiconque part du principe pour l’appli SwissCovid que Google et Apple ne tiendraient pas compte des restrictions d’utilisation confirmées en ignorant leur responsabilité légale et en mettant en jeu leur réputation, doit avoir à l’esprit le fait suivant: l’utilisation de l’appli SwissCovid devrait aussi – même sans l’utilisation de l’API de traçage de proximité de ces fabricants – s’appuyer sur un système d’exploitation et sur une interface Bluetooth générale de Google et d’Apple.
Quiconque se méfie généralement et systématiquement de Google et d’Apple devrait logiquement renoncer à toute utilisation d’appareils intelligents et de systèmes d’exploitation de ces derniers, et pas seulement à l’utilisation de l’appli SwissCovid, quelle que soit sa conception. La possibilité d’un tel renoncement est garantie en tout temps.
Pour toute information complémentaire, nous vous renvoyons au texte intégral de notre appréciation :
13.05.2020 - L’application de traçage de proximité respecte les exigences en matière de protection des données – Prise de position conformément à l’art. 17a LPD sur l’essai pilote du système suisse de traçage de proximité (Swiss Proximity-Tracing-System, SPTS).
Le PFPDT estime que l’essai pilote du SPTS autorisé aujourd’hui par le Conseil fédéral respecte le droit de la protection des données. Les documents manquants devront être soumis au PFPDT avant la mise en exploitation.
Les mesures de surveillance et les recommandations qui s’imposeraient pendant l’essai pilote et après le passage à la mise en exploitation prévue sont réservées.
30.04.2020 - Le traitement des données en arrièrre-plan de l'application «Proximity Tracing-Application (PTAPP)» est proportionné, du point de vue du PFPDT.
En Suisse, une application de traçage de proximité «Proximity Tracing-Application (PTAPP)» basée sur l'approche décentralisée "DP-3T" doit être introduite. Même si beaucoup moins d'informations sont stockées de manière centralisée qu'avec une approche centralisée, l'architecture du système nécessite un "back-end" avec un serveur.
La Task Force Corona du PFPDT a examiné la mise en œuvre technique dans le back-end de l’application PTAPP prévue. Dans son évaluation, le PFPDT arrive à la conclusion que les traitements de données qui y ont lieu sont proportionnés. Il examine actuellement le projet d'une Ordonnance du Conseil fédéral sur l’application PTAPP et les bases légales sur laquelle elle repose.
Le PFPDT est en train d’élaborer une évaluation globale pour l’application PTAPP en forme de rapport, qui rassemblera les évaluations partielles précédentes et la complétera par d'autres aspects.
21.04.2020 - Le PFPDT examine l'architecture du système DP-3T et exige la preuve d'une base légale suffisante.
Le PFPDT et sa Task Force Corona ont participé aux travaux de mise en œuvre de l'administration fédérale concernant une "application de traçage de proximité Covid". La mise en œuvre est basée sur le modèle "DP-3T" développé par l'EPFL, qui suit une approche décentralisée et est indépendante des développements au sein du projet européen "PEPP-PT". La Task Force Corona du PFPDT examine actuellement les aspects de protection des données de l'architecture du système développé par les autorités. En principe, le PFPDT exige en particulier la preuve d'une base légale suffisante, conformément à l'art. 17 de la loi fédérale sur la protection des données.
Le développement du projet de « Covid proximity tracing App » de l’EPFL va dans le sens du respect de la protection des données
17.04.2020 - Depuis que la task force Corona du PFPDT a procédé à une première évaluation sommaire du projet d’application de traçage numérique « Proximity Tracing », l’EPFL et ses partenaires ont poursuivi le développement de ce dernier, rebaptisé DP-3T. Le PFPDT constate qu’il présente des améliorations du point de vue de la protection des données, du fait notamment de l’approche décentralisée retenue. Il s’assurera au moment du lancement prochain de l’application que celle-ci respecte au mieux la protection des données.
La première évaluation sommaire du 02.04.2020 de la task force Corona du PFPDT concernait une version aujourd’hui dépassée du projet, laquelle prévoyait que les personnes exposées étaient alertées par un serveur central. La task force a pu depuis prendre connaissance de la nouvelle version du projet, dénommée « Decentralized Privacy-Preserving Proximity Tracing » (DP-3T), qui repose désormais sur une approche décentralisée. Il est notamment positif sous l’angle de la protection des données que le serveur central, conformément au principe de minimisation des données, ne reçoive que des clefs anonymes d’utilisateurs infectés ne permettant pas de remonter jusqu’à l’identité des personnes concernées. L’utilisateur n’est informé que localement, grâce à l’application enregistrée dans son téléphone, qu’il se trouvait à proximité d’un utilisateur infecté (et anonyme). Le PFPDT admet que les solutions centralisées et décentralisées présentent les unes comme les autres tant des avantages que des inconvénients. Cependant, du point de vue de la protection de la vie privée et compte tenu de la mise en œuvre envisagée au niveau international, il préconise globalement dans le cadre du projet DP-3T une approche décentralisée, étant entendu que seule la mise en œuvre effective permettra en fin de compte de porter un jugement définitif sur sa conformité avec le droit de la protection des données.
Dans l'intervalle, il a été annoncé que l'Office fédéral de la statistique serait le centre de données (Data Trust Center). L’Office fédéral de l’informatique et de la télécommunication développera, abritera et entretiendra l’infrastructure nécessaire. Le PFPDT, plus précisément sa task force Corona, devrait être consulté avec d’autres services à chacune des nouvelles étapes du projet. Le PFPDT continuera de veiller à ce que les exigences de la protection des données soient prises en compte de façon optimale.
Évaluation sommaire du projet de « Covid Proximity Tracing App » de l’EPFL
02.04.2020 - L’École polytechnique fédérale de Lausanne (EPFL) a demandé le 21 mars 2020 au PFPDT de soumettre à une évaluation sommaire le projet d’une « Covid Proximity Tracing App » auquel elle participe.
La Task Force « Corona » du PFPDT se félicite dans son évaluation sommaire que plusieurs mesures prévues dans le cadre du projet témoignent du souci de prendre en compte plusieurs aspects majeurs de la protection des données, ainsi le caractère volontaire de la participation au projet, le choix de ne pas utiliser de données de géolocalisation et le recours à des identificateurs temporaires. L’évaluation définitive de cette initiative à ce jour strictement privée dépendra toutefois de la forme finale du projet et de sa mise en œuvre pratique, et n’est donc pas encore possible pour l’heure.
Coronavirus: plans de protection
19.05.2020 - Le Préposé surveille la mise en œuvre des plans de protection par les entreprises privées. Il tient à ce que la collecte et la transmission de données personnelles dans le cadre de ces plans ne se fassent qu’avec le consentement des personnes concernées
Dans le cadre de l’assouplissement des mesures prises pour endiguer la pandémie de coronavirus, le Conseil fédéral a lié la reprise d’activités et la réouverture d’entreprises à l’élaboration de plans de protection (ordonnance 2 COVID-19; RS 818.101.24), cf. les recommendations de l'OFSP pour les milieux professionnels et les écoles.
Les entreprises sont responsables de la mise en œuvre des plans de protection. Si elles traitent des données personnelles (de clients, de membres, d’employés, etc.) dans ce contexte, elles sont soumises à la surveillance du PFPDT. Celui-ci veille à ce que les entreprises respectent les principes de la loi fédérale sur la protection des données, tout particulièrement le principe de proportionnalité. Les entreprises de certaines branches et d’une certaine taille disposent de services juridiques et de conseillers à la protection des données qui contribuent à la mise en œuvre conforme à la loi des plans de protection.
Le PFPDT tient à ce que la collecte et la transmission de données personnelles dans le cadre des plans de protection ne se fassent qu’avec le consentement des personnes concernées, sans que celles-ci subissent des pressions indirectes. En aucun cas ces personnes ne doivent être incitées à communiquer des données personnelles pour pouvoir jouir de certaines prestations ou avantages.
Le PFPDT estime que la collecte et la transmission de données personnelles obtenues au moyen de pressions indirectes constituent une atteinte à la sphère privée et à l’autodétermination des personnes concernées en contradiction flagrante avec le principe de proportionnalité. Des prescriptions en matière de traitement des données, reposant sur des bases légales suffisamment précises du droit public de la Confédération ou des cantons, sont indispensables.
Mesures de sécurité pour les conférences audio et vidéo
15.04.2020 - La crise du virus coronaire a chambardé nos habitudes et nos comportements du jour au lendemain, en l’occurrence en nous empêchant de rencontrer nos proches ou d’avoir des réunions avec nos collègues. Les particuliers et les entreprises ont été contraints de trouver rapidement des solutions pour communiquer par conférences audio et vidéo. Même si cela s’est parfois fait à la hâte, les réunions professionnelles, les conversations avec les enfants et les grands-parents et même les petites rencontres festives ont pu être transposées dans le monde virtuel. Il est néanmoins important de veiller à la sécurité des informations et à la protection des données dans le cadre de ces conférences.
Le PFPDT recommande dans le présent feuillet thématique de prendre des mesures pour utiliser de la manière la plus sûre possible les solutions adoptées dans l’immédiat dans le cadre du confinement dans un premier temps. Plus tard, ou déjà lors de cette utilisation, il est recommandé d’analyser, en se fondant sur le droit de la protection des données, les risques que présentent les services et produits disponibles, ce qui permettra éventuellement d’opter pour un produit plus approprié. Vous trouverez ci-dessous des instructions pour choisir et mettre en œuvre une solution respectueuse de la protection des données.
Le feuillet thématique énumère certaines règles à appliquer dans la sphère professionnelle comme privée.
Mise à jour - Protection des données dans le cadre de l’endiguement du coronavirus :
L’accès de l’OFSP aux données visualisées de Swisscom est conforme au droit de la protection des données
03.04.2020 - Le PFPDT a prié Swisscom le 25 mars 2020 de prendre position sur l’accès qu’elle a donné à l’OFSP à ses données. Après examen des informations fournies par Swisscom, le PFPDT retient que Swisscom permet à l’OFSP d’avoir accès uniquement à des données anonymisées. Le PFPDT a demandé à Swisscom de fournir au public des informations plus détaillées sur la procédure de traitement des données. Swisscom a répondu à cette demande et a préparé des FAQ sur le traitement des données en question.
Swisscom utilise sa plate-forme Mobility Insights (MIP) pour traiter des statistiques de groupe anonymisées au moyen de données de mobilité agrégées en vue d’évaluer les comportements de mobilité sur le territoire suisse. Les évaluations visualisées de Swisscom rendues accessibles à l’Office fédéral de la santé (OFSP) avec un décalage d’au minimum 8 heures doivent permettre à l’OFSP de vérifier si des personnes se sont encore rassemblées en grand nombre en Suisse, dans le cadre de la lutte contre la pandémie. Ces visualisations montrent comment la présence de possesseurs de téléphones portables évolue dans le temps dans un espace de 100 mètres sur 100, pour autant que plus de 20 appareils associés à un abonnement Swisscom soient présents dans cet espace.
Le PFPDT a prié Swisscom le 25 mars 2020 de prendre position sur l’accès qu’elle a donné à l’OFSP à ses données, ce qu’elle a fait par lettre du 27 mars 2020 et avec une prise de position complémentaire du 2 avril 2020. Après examen des informations fournies par Swisscom et compte tenu de ce qu’il savait déjà suite à plusieurs échanges de Swisscom consacrés à des situations similaires, le PFPDT retient ce qui suit :
Swisscom procède dès que c’est techniquement possible à la pseudonymisation des données de localisation (« hash »), puis à leur agrégation.
Les mesures organisationnelles ne sont pas décrites. Toutefois, il n'y a actuellement aucune raison de supposer qu'il y a des défauts évidents, d'autant plus que la plate-forme MIP est un produit qui est exploité depuis plusieurs années.
Swisscom met à la disposition de l'OFSP des informations visualisées par MIP, mais ni données en clair ni données pseudonymisées ayant servi à produire des visualisations au moyen de la plate-forme MIP.
Les résultats (visualisation des données de localisation agrégées) auxquelles Swisscom donne accès à l’OFSP est anonyme.
Cela signifie que Swisscom permet à l’OFSP d’avoir accès uniquement à des données anonymisées. Le PFPDT estime que le traitement des données opéré par Swisscom et les transferts de données anonymes à l’OFSP ne contreviennent pas au droit de la protection des données.
Considérant les documents qui lui ont été communiqués, le PFPDT ne voit aucune raison de douter que Swisscom se conforme au traitement des données tel qu’il a été exposé dans les avis du 27 mars et du 2 avril 2020. Il a certes reçu des indications accusant Swisscom, mais rien n’a permis de démontrer ces allégations. Il n’existe à ce jour aucun élément qui doive amener le PFPDT à ouvrir une procédure formelle d’établissement des faits selon l’art. 29 LPD.
Le PFPDT estime cependant que les informations accessibles au public sur la collaboration entre l’OFSP et Swisscom et sur les traitements de données qui y sont associés sont rares et difficiles à trouver. Aussi a-t-il invité Swisscom à publier des informations plus détaillées sur ces traitements de données. Swisscom a répondu à cette demande et a préparé des FAQ sur l'utilisation de la plate-forme Mobility Insights par l'Office fédéral de la santé publique (OFSP).
27.03.2020 - Hier, le PFPDT a été informé par l'Office fédéral de la santé publique (OFSP) de la collaboration en cours avec Swisscom pour lutter contre la pandémie (voir communiqué de l'OFSP du 26.03.2020).
Dans l'intervalle, le PFPDT a reçu de l'OFSP et de Swisscom des documents pertinents sur le sujet. Tous deux ont également assuré le PFPDT qu'à l'avenir, ils le tiendront informé en permanence des projets relatifs à la protection des données dans le cadre de la lutte contre la pandémie.
Le groupe de travail interne du PFPDT "Corona", créé le 24 mars 2020, analyse actuellement ces documents. Il y a quelques jours déjà, deux initiatives privées pour des projets numériques contre de nouvelles infections ont été soumises au PFPDT. Celles-ci font également l'objet d'une première analyse sommaire de la protection des données par notre groupe de travail.
Protection des données dans le cadre de l’endiguement du coronavirus
17.03.2020 - Les autorités, en coopération avec les institutions de santé, font tout leur possible pour endiguer la propagation rapide du coronavirus. Dans la mesure où des personnes privées (en particulier des employeurs) traitent des données personnelles pour lutter contre la pandémie, les principes énoncés à l'article 4 de la loi fédérale sur la protection des données doivent être respectés.
1. Traitement des données par les établissements de soins
Après que le Conseil fédéral a déclaré la situation qui prévaut actuellement en Suisse de « situation extraordinaire » au sens de l'art. 7 de la loi sur les épidémies (art. 7 LEp), les autorités fédérales, cantonales et communales continuent à travailler en collaboration avec les institutions de santé publique pour lutter contre la pandémie actuelle de coronavirus.
L'Office fédéral de la santé publique (OFSP), les autorités cantonales compétentes et les institutions publiques et privées qui accomplissent des tâches en vertu de la LEp traitent des données personnelles sur la santé conformément aux dispositions de la section 2 de la LEp, dans la mesure où cela est nécessaire pour identifier les personnes malades, présumées malades , infectées, présumées infectées, en vue de prendre des mesures de protection de la santé publique. Ce faisant, ils veillent au respect des législations fédérale et cantonale en matière de protection des données. Les hôpitaux et autres établissements de soins publics ou privés, ainsi que les laboratoires et le personnel médical, sont également soumis à des obligations de déclaration spéciales en vertu de la LEp.
2. Traitement des données par des personnes privées
Dans la mesure où la société civile, en particulier les employeurs, traitent des données personnelles pour lutter contre la pandémie, le traitement doit être effectué dans le respect des principes énoncés à l'article 4 de la loi fédérale sur la protection des données :
Les données relatives à la santé doivent être considérées comme sensibles et, ne peuvent en principe être obtenues par des personnes privées contre la volonté des intéressés.
En outre, les traitements des données relatives à la santé par des personnes privées doivent être effectués de manière conforme aux principes de finalité et de proportionnalité. Cela signifie qu'ils doivent être nécessaires et appropriés en vue de prévenir de nouvelles infections et qu’ils ne doivent pas aller au-delà de ce qui est nécessaire pour atteindre cet objectif.
Dans la mesure du possible, les données pertinentes sur les symptômes de la grippe, comme la fièvre, doivent être collectées et transmises par les personnes concernées elles-mêmes.
La collecte et l’utilisation ultérieure de données relatives à la santé par des tiers privés doivent être communiqués aux personnes concernées afin que ces dernières comprennent le sens et la finalité ainsi que la portée du traitement quant à son contenu et sa durée.
3. Température du corps et suivi
Dans la mesure où des personnes privées collectent des données médicales telles que la température corporelle à l’entrée de bâtiments ou de lieux de travail dans le but de prévenir une contamination, le traitement de ces données doit être, en termes de contenu et de durée, limité au minimum nécessaire pour atteindre cette finalité. L'information et l'autodétermination des personnes concernées doivent être respectées lors de la collecte des données. Dans ce contexte, répondre à des questions détaillées sur l'état de santé à des personnes qui ne sont pas des professionnels de la santé s'avère inapproprié et disproportionné.
Il en va de même pour les données à caractère personnel traitées par des particuliers dans le cadre de mesures opérationnelles et organisationnelles visant à prévenir une contamination. Au plus tard lorsque la menace de pandémie a cessé d'exister, ces données doivent être intégralement supprimées.
Si l'utilisation de technologies numériques pour la collecte et l'analyse de données sur la mobilité et de données de proximité est envisagée, celle-ci doit s'avérer proportionnée à l'objectif de prévention de la contamination. Ce n’est le cas que le recours à ces méthodes est pertinent d’un point de vue épidémiologique et propre à avoir un effet justifiant une atteinte à la personnalité des personnes concernées afin de contenir la pandémie, en tenant compte du stade actuel de celle-ci.
Dossier nouvelle loi fédérale sur la protection des données (nLPD)
Le point de vue du PFPDT
05.03.2021 - Le secteur privé et les autorités fédérales devront adapter le traitement des données personnelles aux nouvelles dispositions prévues par la révision de la loi fédérale sur la protection des données. Le PFPDT met en évidence ci-après les principales nouveautés dont ils devront tenir compte à cette fin.
(Le document intégral est joint ci-dessous en format pdf)
La LPD révisée vise exclusivement à protéger la personnalité des personnes physiques qui font l’objet d’un traitement de données. Elle ne concerne dorénavant plus les données des personnes morales (sociétés commerciales, associations, fondations, etc.), son champ d’application recouvrant ainsi celui du RGPD. Les entreprises, comme jusqu’ici, pourront toujours se référer à la protection de la personnalité prévue par l’art. 28 du code civil, à la protection du secret commercial et de fabrication prévue à l’art. 162 du code pénal et aux dispositions pertinentes de la loi fédérale contre la concurrence déloyale et de celle sur les cartels.
L’actuelle définition des données personnelles sensibles est étendue aux données génétiques et aux données biométriques si ces dernières identifient une personne physique de manière univoque.
Les principes de « Privacy by Design » (protection des données dès la conception) et de « Privacy by Default » (protection des données par défaut) sont nouvellement inscrits dans la LPD révisée. Ils contraignent les autorités et les entreprises à mettre en œuvre dès la conception des projets les principes de traitement prévus par la LPD en prenant des mesures de protection techniques et organisationnelles appropriées. Selon le principe de la protection des données dès la conception, elles devront concevoir leurs applications de sorte que, entre autres, les données soient systématiquement anonymisées ou effacées. La protection des données par défaut, quant à elle, préserve les utilisateurs d’offres en ligne privées qui n’examinent pas les conditions d’utilisation ni les droits d’opposition qui en découlent : seules sont traitées les données absolument nécessaires à la finalité poursuivie tant que les utilisateurs ne deviennent pas actifs et n’autorisent pas de traitement plus poussé. Afin de garantir cette protection prévue par la nouvelle loi, les entreprises suisses devront vérifier leurs offres à temps et, si nécessaire, procéder à des modifications en utilisant des programmes conviviaux et respectueux de la protection des données.
En vertu de l’art. 10 de la LPD révisée, une entreprise privée pourra désigner un conseiller à la protection des données, lequel pourra, mais ne devra pas, être lié à elle par un contrat de travail. Dans les deux cas, l’activité de conseil sera séparée des autres tâches de l’entreprise. Il est aussi recommandé de ne pas mélanger les dossiers du conseil sur la protection des données avec ceux des autres activités de conseil et de représentation juridique. Les conseillers devront par ailleurs pouvoir porter leur point de vue à la connaissance de la direction de l’entreprise en cas de divergence d’opinion. Au contraire du RGPD européen, la désignation d’un conseiller restera facultative pour les personnes privées ; seuls les organes fédéraux en seront légalement tenus. Le conseiller sera non seulement l’interlocuteur à l’interne en matière de protection des données mais aussi l’intermédiaire avec la protection des données administrative et le premier contact du PFPDT. Outre le conseil général et la formation de l’entreprise en matière de protection des données, il aura pour tâche de participer à l’élaboration et à l’application de conditions d’utilisation et de dispositions de protection des données. Si le conseiller interne exerce sa fonction de manière indépendante et sans recevoir d’instruction et s’il n’exerce pas de tâches incompatibles avec sa fonction, l’entreprise pourra, après avoir effectué une analyse d’impact relative à la protection des données, se fonder uniquement sur le conseil interne même si un risque élevé persiste, sans avoir à consulter le PFPDT (cf. ci-dessous « Analyse d’impact relative à la protection des données personnelles »).
Les analyses d’impact ne sont pas nouvelles dans le droit suisse sur la protection des données, et les organes fédéraux y sont déjà tenus. Si le traitement envisagé est susceptible d’entraîner un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée, l’art. 22 de la LPD révisée prévoit que le responsable du traitement privé devra désormais également procéder au préalable à une analyse d’impact. L’existence d’un risque élevé, en particulier lors du recours à de nouvelles technologies, dépend de la nature, de l’étendue, des circonstances et de la finalité du traitement. Un tel risque existe surtout lorsqu’un profilage à risque élevé ou un traitement à grande échelle de données sensibles est prévu. Lorsqu’un système, un produit ou un service est certifié (art. 13 de la LPD révisée) ou lorsqu’un code de conduite reposant sur une analyse d’impact est observé (art. 11), il sera possible de renoncer à établir une telle analyse. S’il ressort d’une analyse d’impact que le traitement envisagé présente encore, malgré les mesures prévues par le responsable du traitement, un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée, le responsable du traitement consultera le PFPDT préalablement au traitement (art. 23 de la LPD révisée). Au cas où le PFPDT aurait des objections concernant l’analyse d’impact elle-même, il suggérera au responsable du traitement des précisions ou des ajouts. Ce devrait surtout être le cas lorsque le texte est si général qu’il ne décrit qu’insuffisamment les risques prévisibles ou les mesures. Si les objections concernent le traitement envisagé en soi, le PFPDT proposera des mesures de modification appropriées au responsable du traitement (cf. ci-dessous « Consultations »). Contrairement aux codes de conduite, les prises de position du PFPDT ne devront pas être publiées. En leur qualité de documents officiels toutefois, elles seront soumises à la loi sur la transparence. Le responsable du traitement privé pourra renoncer à consulter le PFPDT s’il a consulté à l’interne son conseiller à la protection des données (cf. ci-dessus « Conseillers à la protection des données »).
À l’art. 11, la nouvelle LPD incite les associations professionnelles, sectorielles et économiques à rédiger leur propre code de conduite et à le soumettre au PFPDT afin qu’il prenne position. Ces prises de position seront publiées. Elles pourront contenir des objections ou suggérer des modifications ou des précisions. Un avis positif du PFPDT justifiera la présomption légale que le comportement défini dans le code est conforme à la protection des données. Les codes trop généraux n’exonéreront toutefois pas des risques qui ne sont pas détaillés dans le texte. S’ils sont soumis à un code de conduite, les membres d’associations pourront être dispensés de l’élaboration d’aides et de directives propres pour l’application de la nouvelle LPD. Autre avantage pour eux de cette forme d’autorégulation : ils ne devront pas effectuer d’analyse d’impact s’ils observent un code de conduite reposant sur une analyse d’impact déjà effectuée et toujours actuelle, prévoyant des mesures de protection de la personnalité et des droits fondamentaux et ayant été soumise au PFPDT.
En vertu de l’art. 13 de la LPD révisée, les fournisseurs de systèmes ou de logiciels de traitement de données personnelles pourront eux aussi, en plus des exploitants, faire certifier leurs systèmes, leurs produits ou leurs services. Une certification permettra par exemple aux entreprises de prouver qu’elles respectent le principe de la protection des données par défaut et qu’elles disposent d’un système de gestion de la protection des données adéquat. Si un responsable du traitement privé utilise un système, un produit ou un service certifié, il sera dispensé d’établir une analyse d’impact relative à la protection des données. Le Conseil fédéral édictera par voie d’ordonnance de plus amples dispositions sur les procédures de certification et sur le label de qualité.
En vertu de l’art. 12 de la LPD révisée, les responsables du traitement et les sous-traitants tiendront chacun un registre de toutes leurs activités de traitement. La nouvelle loi liste les indications que ce registre devra au moins contenir, lequel devra constamment être à jour. Le Conseil fédéral prévoira dans l’ordonnance des exceptions pour les entreprises qui emploient moins de 250 collaborateurs et dont le traitement des données présente un risque limité d’atteinte à la personnalité des personnes concernées. Alors que les organes fédéraux seront tenus de déclarer leur registre au PFPDT, ce ne sera plus le cas, selon le nouveau droit, des personnes privées traitant des données.
Conformément à l’art. 16 de la LPD révisée, des données pourront être communiquées à l’étranger si le Conseil fédéral a constaté que l’État tiers dispose d’une législation assurant un niveau de protection adéquat. Il publiera une liste à cette fin, liste qui a été dressée par le PFPDT selon le droit en vigueur. Si l’État destinataire concerné n’y figure pas, les données pourront cependant toujours être communiquées, comme selon le droit en vigueur, à condition qu’une protection adéquate des données soit garantie d’une autre manière. Par exemple par un traité international, des clauses de protection des données, qui devront être préalablement soumises au PFPDT, ou des règles d’entreprise contraignantes (binding corporate rules). Les clauses type déjà approuvées par la Commission européenne en vertu du RGPD seront reconnues par le PFPDT.
Si une communication à l’étranger est prévue – l’enregistrement sur des systèmes étrangers (cloud) étant aussi concerné –, les pays devront être indiqués, peu importe qu’ils offrent ou non un niveau de protection des données approprié. Ici, la LPD va plus loin que le RGPD. Il faudra aussi indiquer quelles garanties entrent éventuellement en jeu (par ex. clauses contractuelles type européennes) ou à quelles exceptions visées à l’art. 17 de la LPD révisée le responsable du traitement se réfère éventuellement ; là aussi, la LPD s’écarte du RGPD.
Afin d’atteindre l’objectif de transparence visé par la révision, l’art. 19 de la nouvelle LPD consolide le devoir d’informer pour les entreprises. Pour toute collecte envisagée de données personnelles, le responsable du traitement privé devra informer au préalable la personne concernée de manière adéquate, que la collecte de données soit directement effectuée auprès d’elle ou non. L’actuelle LPD ne prévoit ce devoir d’informer que pour les données personnelles sensibles et les profils de la personnalité. Concrètement, l’identité et les coordonnées du responsable du traitement devront être communiquées, de même que la finalité du traitement et, le cas échéant, les destinataires des données personnelles. Autrement que dans le RGPD, des informations devront aussi être fournies sur l’État destinataire et sur les garanties éventuelles d’un niveau approprié de protection des données (cf. en haut, Communication de données personnelles à l'étranger). Les entreprises devront ainsi vérifier et actualiser leur déclaration relative à la protection des données. Le devoir d’informer ne s’appliquera pas aux données personnelles qui ne sont saisies qu’accessoirement ou par hasard. Il sera par ailleurs limité ou supprimé par les nombreuses exceptions mentionnées à l’art. 20. Ce sera par exemple le cas si la personne concernée dispose déjà des informations ou si le traitement des données personnelles est prévu par la loi. Si le traitement entraîne une décision individuelle automatisée, le responsable du traitement, en vertu de l’art. 21, devra informer la personne concernée et lui accorder le droit d’être entendu et celui de vérifier qui lui reviennent.
Le droit d’une personne concernée de demander si des données personnelles la concernant sont traitées est consolidé dans la nouvelle LPD. L’art. 25 dresse une liste étendue des informations que le responsable du traitement devra au moins transmettre (par ex. la durée de conservation des données personnelles traitées). Il prévoit également que la personne concernée devra recevoir toutes les informations nécessaires pour qu’elle puisse faire valoir les droits qui lui sont accordés selon la nouvelle LPD et pour que la transparence du traitement soit garantie. Dans certains cas, le responsable du traitement pourra refuser, restreindre ou différer la communication des renseignements, ce que prévoit déjà le droit en vigueur.
En vertu de l’art. 24 de la LPD révisée, le responsable du traitement devra nouvellement annoncer au PFPDT les cas de violation de la sécurité des données entraînant un risque élevé pour la personnalité ou les droits fondamentaux de la personne concernée. Cette disposition s’appliquera aussi bien aux responsables du traitement privés qu’aux organes fédéraux. L’annonce au PFPDT devra être faite dans les meilleurs délais. Le responsable du traitement effectuera au préalable une prévision des conséquences possibles de la violation ainsi qu’une première évaluation afin de déterminer s’il pourrait y avoir péril en la demeure, si la personne concernée doit être informée de l’événement et de quelle manière. Même s’il estime que le risque n’est pas élevé, le responsable du traitement pourra faire volontairement une annonce au PFPDT. Seules devront être signalées au PFPDT les violations de la personnalité et des droits fondamentaux, mais pas les cyberattaques déjouées ou impossibles. Le RGPD européen prévoit lui aussi une obligation de notifier aux autorités de protection des données de l’UE et indique des délais concrets. Le seuil d’annonce en vertu du droit européen est d’ailleurs plus bas, puisqu’il s’applique déjà à un risque simple.
Le droit à la remise ou à la transmission des données personnelles prévu à l’art. 28 de la LPD révisée donnera la possibilité à la personne concernée de demander au responsable du traitement privé qu’il lui remette sous un format électronique couramment utilisé les données personnelles la concernant qu’elle lui a communiquées ou de les transmettre à un tiers. Les conditions suivantes devront être réunies : le responsable du traitement traite les données de manière automatisée et avec le consentement de la personne concernée ou en relation directe avec un contrat. La personne concernée pourra faire valoir ce droit gratuitement, sauf si la remise ou la transmission des données exige des efforts disproportionnés. Ce qui pourra être le cas, s’agissant de données de communication, lorsqu’un tri complexe entre les propres propos et ceux de tiers est nécessaire.
Le PFPDT devra ouvrir d’office une enquête contre un organe fédéral ou une personne privée qui aura enfreint la nouvelle LPD (art. 49, al. 1, de la LPD révisée). L’actuelle LPD prévoit encore la restriction selon laquelle le PFPDT ne peut mener une enquête d’office contre des personnes privées, y compris établissement des faits, que si la méthode de traitement est susceptible de porter atteinte à la personnalité d’un nombre important de personnes. Ce seuil d’intervention, appelé « erreur de système », sera supprimé. Le nouveau droit prévoit toutefois lui aussi que le PFPDT pourra renoncer à ouvrir une enquête lorsque la violation est de peu d’importance (art. 49, al. 2, de la LPD révisée). Comme jusqu’ici, le PFPDT pourra toujours renoncer à engager de premières étapes formelles s’il s’avère, après un premier contact avec le responsable du traitement, que celui-ci reconnaît les insuffisances qui lui ont été signalées et y remédie en temps utile. Il faut globalement partir du principe que même une fois la nouvelle loi entrée en vigueur, le PFPDT, du fait de ses ressources limitées, fixera des priorités dans le traitement des dénonciations suivant le principe d’opportunité.
En vertu de l’art. 51, al. 1, de la LPD révisée, le PFPDT pourra mener des procédures conformément à la loi fédérale sur la procédure administrative[1] et formellement ordonner à un organe fédéral ou à un responsable du traitement privé la modification, la suspension ou la cessation de tout ou partie du traitement ainsi que l’effacement ou la destruction des données personnelles. Il pourra par exemple ordonner qu’une entreprise informe les personnes concernées d’une violation signalée de la sécurité des données. Aujourd’hui, il a seulement la compétence de faire des recommandations et d’ouvrir une action en justice auprès du Tribunal administratif fédéral en cas de non-observation de ces dernières.
Un destinataire pourra faire recours contre une décision du PFPDT devant le Tribunal administratif fédéral puis devant le Tribunal fédéral. Le PFPDT aura aussi qualité pour recourir contre les décisions sur recours du Tribunal administratif fédéral (art. 52, al. 3, de la LPD révisée).
[1] Loi fédérale du 20 décembre 1968 sur la procédure administrative (PA), RS 172.021
Le PFPDT n’est ni une autorité d’approbation ni un organisme d’homologation des applications, des produits, des réglementations et des projets. La nouvelle loi prévoit cependant à plusieurs reprises que le responsable du traitement devra consulter le PFPDT avant la clôture définitive des travaux et la réalisation des projets. Les codes de conduite et, en cas de risques résiduels élevés, les analyses d’impact devront lui être présentés pour qu’il prenne position. Vu la nature abstraite de ces objets soumis à consultation, les prises de position du PFPDT n’auront généralement pas valeur de décision, et les mesures et charges qu’il recommandera ne feront l’objet d’aucune possibilité de recours. En revanche, si le responsable du traitement ne les respecte pas, il devra s’attendre à ce que des traitements concrets liés à des recommandations du PFPDT fassent ultérieurement l’objet de décisions. Ces décisions pourront aller jusqu’à l’interdiction de traitements entiers, le responsable du traitement pouvant toutefois ici recourir aux voies de droit ordinaires de la procédure administrative.
Excepté les prises de position dans le cadre de consultations formelles, le PFPDT restera libre de s’exprimer spontanément sur des nouvelles technologies, des phénomènes de numérisation ou des pratiques de traitement de certaines branches et de publier ses opinions et estimations. S’il en va de l’intérêt général, il informera le public, comme jusqu’ici suivant le droit en vigueur, de ses mesures et de ses constatations. En vertu de l’art. 57, al. 2, de la LPD révisée, il en ira de même des constatations et des décisions rendues dans le cadre d’enquêtes formelles du PFPDT.
L’art. 59 de la LPD révisée liste les prestations pour lesquelles le PFPDT percevra des émoluments auprès des personnes privées. Ce sera par exemple le cas des prises de position concernant les codes de conduite ou les analyses d’impact, de l’approbation des clauses type de protection des données et de celle des règles d’entreprise contraignantes. Les conseils généraux que le PFPDT fournira à des personnes privées seront eux aussi soumis à des émoluments. Le Conseil fédéral réglera les détails au niveau de l’ordonnance.
La nouvelle LPD prévoit des amendes de 250 000 francs au plus à l’encontre de personnes privées (art. 60). Seront punis les comportements et les omissions intentionnels, mais pas la négligence. Le non-respect du devoir d’informer, de renseigner et d’annoncer et la violation des devoirs de diligence et celle du devoir de discrétion seront punis sur plainte seulement. L’insoumission à une décision du PFPDT sera en revanche poursuivie d’office. C’est en principe la personne physique responsable qui sera punie. L’entreprise elle-même pourra toutefois nouvellement l’être aussi, à hauteur de 50 000 francs maximum, si l’identification de la personne punissable au sein de l’entreprise ou de l’organisation nécessite des actes d’enquête disproportionnés. Au contraire des autorités européennes de protection des données, le nouveau droit n’accorde toujours pas de pouvoir de sanction au PFPDT. Les contrevenants seront punis par les autorités cantonales de poursuite pénale. Le PFPDT pourra dénoncer des infractions et faire valoir les droits d’une partie plaignante dans la procédure (art. 65, al. 2, de la LPD révisée), mais il n’aura pas le droit de porter plainte. Autrement que la nouvelle LPD, le RGPD dispose que les sanctions administratives ne sont prononcées qu’à l’encontre de personnes morales. Les autorités européennes de protection des données peuvent condamner des entreprises fautives à des amendes pouvant s’élever jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial.
Nouvelle LPD: 5 postes supplémentaires à partir de juillet 2022
13.07.2021 - En 2019, le Conseil fédéral a autorisé la création de 3 postes au PFPDT en vue de l’entrée en vigueur de la nouvelle loi sur la protection des données (LPD), prévue pour le 2e semestre 2022. Ces postes ont été pourvus dans l’intervalle. Le Conseil fédéral a maintenant autorisé la création de 5 postes de plus. Si le Parlement fédéral approuve cette augmentation de l’effectif lorsqu’il adoptera en décembre 2021 l’arrêté fédéral concernant le budget pour l’année 2022, le PFPDT pourra mettre ces 5 postes au concours à partir du 1er juillet 2022.
Avec la création de ces cinq postes supplémentaires, le PFPDT mettra tout en œuvre pour assumer ses tâches et ses compétences élargies, notamment la nouvelle obligation qui lui incombe de traiter toutes les plaintes individuelles qui ne sont pas « de peu d’importance ».
Vers une protection des données modernisée
25.09.2020 - Le Parlement fédéral a adopté aujourd’hui lors duvote final la révision totale de la loi sur la protection des données (LPD). Il a ainsi été en mesure d’éliminer les dernières divergences qui se dressaient sur la voie d’une protection de la sphère privée en phase avec son temps.
Le PFPDT se félicite de l’achèvement de la révision totale de la LPD, tâche que le Conseil fédéral avait confiée au Parlement par son message il y a trois ans. La protection de la sphère privée et l’autodétermination informationnelle de la population suisse sont ainsi renforcées et adaptées à la réalité numérique.
Le PFPDT s’exprimera de matière plus détaillée sur la révision adoptée de la loi après l’expiration du délai référendaire.
La deuxième chambre conclut la consultation sur la loi fédérale à la protection des données (LPD)
18.12.2019 - Le PFPDT salue l’achèvement par le Conseil des Etats de la consultation concernant la révision totale de la Loi sur la protection des données (LPD) et la large reprise des améliorations proposées par sa commission face à la version du conseil national.
Le Conseil des Etats examinera la loi sur la protection des données à la session d’hiver
20.11.2019 - Le PFPDT se félicite du fait que, dans le peu de temps disponible jusqu'à la fin de la session, la Commission des institutions politiques du Conseil des Etats (CIP-E) a réussi à adopter un texte législatif à l'attention du plénum du Conseil des Etats qui est prêt à être consulté et qui améliore sensiblement la version du Conseil national.
La révision totale de la LPD est transmise à la Commission du Conseil des Etats
25.09.2019 - Suite au traitement par le Conseil national de la révision totale de la loi sur la protection des données (LPD) en tant que première chambre, le PFPDT espère que la deuxième chambre puisse de son côté débattre de ce projet lors la session d'hiver et améliorer encore la protection de la population suisse en l’alignant aux standards européens.
LPD : le Conseil national se penchera le premier sur le projet de révision totale
30.08.2019 - Après avoir étudié le message du Conseil fédéral du 15 septembre 2017 concernant la révision totale de la loi fédérale sur la protection des données, la Commission des institutions politiques du Conseil national a décidé le 15 août 2019, la voix prépondérante du président ayant permis de trancher, de soumettre le projet au Conseil national, prioritaire en l’occurrence.
La proposition à l’intention du Conseil comprend de nombreuses dispositions qui, dans leur version modifiée par la majorité de la commission, assurent une protection des données moins élevée que dans les États européens voisins et, à certains égards, moins élevée que celle prévue dans la loi sur la protection des données de 1992.
Lors des délibérations publiques des 24 et 25 septembre 2019, le Conseil national pourra comparer les versions des majorités et des minorités de la commission, étudier leurs arguments et décider s’il veut améliorer le niveau de protection des données dont bénéficie la population suisse et l’aligner sur les normes européennes.
01.03.2019 - Le Parlement ayant scindé la révision de la loi sur la protection des données, le premier volet, à savoir la loi sur la protection des données Schengen (LPDS), est entré en vigueur le 1er mars 2019. Cette adaptation de la législation suisse au droit européen, qui était nécessaire à l’intégration de l’acquis de Schengen, est conçue comme une loi de transition et comprend diverses nouvelles dispositions. Le préposé fédéral à la protection des données et à la transparence (PFPDT) obtient ainsi dans le cadre de la mise en œuvre de l’acquis de Schengen en matière pénale de nouvelles compétences d’enquête et de décision.
Échelonnement de la révision de la LPD: la protection des droits fondamentaux doit être préservée
12.01.2018 – La Commission des institutions politiques du Conseil national (CIP-N) est entrée en matière hier sur la révision totale de la loi sur la protection des données (LPD). Parallèlement, elle a décidé de scinder la révision en deux étapes. Le PFPDT exige que la procédure échelonnée permette, outre une adoption accélérée des aspects relatifs aux accords de Schengen, une mise en œuvre rapide du texte révisé dans son intégralité.
Le PFPDT a pris connaissance de la décision de la CIP-N concernant un échelonnement de la procédure. Selon lui, cette procédure induit des difficultés considérables du point de vue de la technique législative, ainsi qu’un risque de retards supplémentaires. Du fait que la Commission a dû interrompre ses travaux, il importe de veiller à ce que la protection des droits fondamentaux de la population, dont la sphère privée est exposée à des risques accrus en raison de la numérisation croissante, reste garantie.
Pour cela, la Suisse a besoin d’une législation sur la protection des données assurant la sauvegarde adéquate des droits fondamentaux, équivalente au niveau de protection des données garanti par le droit européen, et qui tienne compte des défis posés par la numérisation. En conséquence, le PFPDT préconise une révision totale et rapide de la LPD actuelle, en vigueur depuis 1993.
Le 15 septembre 2017, le Conseil fédéral a présenté un projet de révision totale de la loi, qui a été approuvé dans ses grandes lignes par le PFPDT (comme il l’annonçait le même jour), car il satisfait selon lui aux conditions précitées. Lors des débats d’entrée en matière de la CIP-N du 11 janvier 2018, le Préposé s’est exprimé, en vain, en faveur de l’examen immédiat et complet du projet de loi du Conseil fédéral; les points critiques qui subsistent pouvant être examinés dans le cadre de la discussion de détail.
Message concernant la révision de la loi sur la protection des données: appréciation du PFPDT
Buts
Le développement fulgurant des technologies d’information et de télécommunication et la numérisation de la société qu’il entraîne dans son sillage ont imposé une refonte des législations en matière de protection des données du Conseil de l’Europe et de l’Union européenne, refonte qui a à son tour nécessité la révision totale de la loi fédérale sur la protection des données, en vigueur depuis 1993. Le projet de loi présenté par le Conseil fédéral vise à renforcer la protection des données, au travers notamment d’une amélioration de la transparence des traitements et du contrôle que les personnes concernées peuvent exercer sur leurs données. Il vise en outre à assurer le maintien de l’équivalence du niveau de protection entre la Suisse et l’UE. L’adéquation de ce niveau de protection revêt une importance capitale notamment pour l’économie suisse, d’autant plus que le nouveau règlement général de l’UE sur la protection des données, qui entrera en vigueur le 25 mai 2018, aura des répercussions directes sur de nombreuses entreprises suisses.
Appréciation globale du PFPDT
Le PFPDT approuve les grandes lignes de la révision. Il émet toutefois quelques réserves, pour l’essentiel dues au fait que le projet du Conseil fédéral présente des différences terminologiques et matérielles par rapport au règlement général de l’UE sur la protection des données et à la convention STE 108 révisée du Conseil de l’Europe. Le PFPDT estime que nombre de ces différences ne sont pas judicieuses, notamment parce qu’elles compliquent inutilement la situation juridique des entreprises suisses et des services de l’administration qui seront directement soumis au règlement général de l’UE sur la protection des données.
Aspects positifs
Le PFPDT se félicite notamment de l’amélioration de la transparence en matière de traitement des données, le devoir d’information lors de la collecte étant étendu à tous les traitements dans le secteur privé, indépendamment de la sensibilité des données. Il salue également la mise en œuvre de l’analyse d’impact relative à la protection des données pour les projets, du secteur privé ou des autorités, qui présentent un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées. L’extension de l‘obligation d’informer les personnes concernées sur leurs droits d’accès est également un point positif. Il en va de même de l’encouragement de l‘autoréglementation, par le biais de codes de conduite qui visent à faciliter les activités des responsables du traitement et à contribuer au respect de la législation. Le PFPDT se félicite également de la mention explicite des principes de la protection des données dès la conception et par défaut (privacy by design et privacy by default). L’indépendance et le rôle du PFPDT sont en outre renforcés. Le projet de loi prévoit que celui-ci peut prendre, à l’instar de ses homologues européens, des décisions contraignantes à l’égard des responsables du traitement et des sous-traitants, au terme d’une enquête ouverte d’office ou sur dénonciation. Le PFPDT prend acte du fait que le Conseil fédéral prévoit de lui allouer des moyens supplémentaires pour l’exécution de la nouvelle loi.
Divergences subsistantes
Le PFPDT aurait souhaité l’instauration d’un droit à la portabilité des données, qui renforcerait le contrôle de l’utilisateur sur ses données personnelles ainsi que le renversement du fardeau de la preuve en procédure civile. Il aurait également apprécié que la nouvelle loi, à l’instar du règlement général de l’UE sur la protection des données, s’applique expressément aussi aux entreprises n’ayant pas de siège en Suisse mais qui procèdent à des traitements ayant des effets en Suisse, afin que les personnes concernées puissent exercer plus facilement leurs droits. A cet effet, ces entreprises devraient avoir un interlocuteur en Suisse.
Le nouveau droit suisse devrait soumettre la désignation des conseillers à la protection des données en entreprise aux même conditions que celles que prévoit le règlement général de l’UE sur la protection des données en ce qui concerne les entreprises directement soumises à celui-ci. Il en va de même pour les codes de conduite. Les associations professionnelles et les associations économiques suisses devraient les soumettre au PFPDT selon les mêmes règles que celles qu’elles doivent respecter en vertu du règlement général de l’UE. Il serait en outre nécessaire que les entreprises dotées d’un conseiller à la protection des données soient également soumises aux obligations en matière d’analyses d’impact. De même les traitements de données présentant un risque particulièrement élevé devraient faire l’objet d’une certification.
Les sanctions prévues (amende de 250 000 francs au plus) semblent peu dissuasives au regard de celles fixées par le règlement général de l’UE sur la protection des données (20 millions d’euros ou 4 % du chiffre d’affaires annuel). Le PFPDT craint en outre que ce soit le personnel subalterne des entreprises, plutôt que celles-ci en tant que telles, qui soit sanctionné. Il déplore également l’absence de sanctions de droit pénal administratif.
Enfin, le budget du PFPDT ne devrait pas être approuvé par le Conseil fédéral mais par le Parlement, à l’instar du régime appliqué aux autres autorités de surveillance indépendantes telles que le Contrôle fédéral des finances et le Service de renseignement de la Confédération.
13.04.2021 - Après Facebook, c'est au tour de LinkedIn d'être rattrapé par une fuite massive de données personnelles. D’après le site Cybernews, les données de 500 millions d’utilisateurs du réseau social professionnel sont en vente sur un forum spécialisé. Il s’agit notamment des identifiants, des noms complets, des adresses électroniques, des numéros de téléphone, des liens vers d'autres profils LinkedIn et vers ceux d'autres réseaux sociaux.
Selon les dernières nouvelles, Clubhouse est également touché par une fuite.
Le PFPDT suit l'évolution de la situation et a pris contact avec ses homologues étrangers européens.
L’autorité irlandaise de protection des données est l’autorité chef de file dans l'UE pour ces deux sociétés, leurs sièges sociaux européens étant établis en Irlande, et celle-ci a publié un communiqué de presse sur la fuite de données Facebook et sur son action.
L'autorité italienne de protection des données, il Garante, a également contacté les deux réseaux sociaux afin de savoir s'ils avaient l'intention de mettre à disposition des utilisatrices et utilisateurs un outil leur permettant de contrôler si leurs données étaient concernées par la fuite. Elle invite de même les utilisateurs à porter une attention particulière à toute anomalie liée à leur numéro de téléphone et leurs comptes Facebook et LinkedIn (cf. lien).
Que faire en cas de fuite de données ?
En cas de fuite de données (appelée communément « data leaks »), les mesures générales suivantes peuvent aider à déterminer si vous êtes concerné et à vous protéger:
Déterminez si vous êtes concerné :
Pour savoir si vous êtes concerné, il existe des plateformes sur Internet comme l’Identity Leak Checker de l'Institut Hasso Plattner ou le site https://haveibeenpwned.com du consultant australien en sécurité Troy Hunt. Ces services peuvent être utilisés pour vérifier si sa propre adresse électronique ou son propre numéro de téléphone ont déjà fait l'objet d'une fuite. Même si ce contrôle ne permet pas d’attester totalement la fuite, celui-ci doit être pris au sérieux.
Suivez les instructions des entreprises touchées :
En principe, les entreprises informent elles-mêmes les personnes concernées en cas de fuite de données non autorisée de cette ampleur ou s'il existe un risque élevé pour celles-ci. Leurs instructions doivent être suivies.
Changez votre mot de passe :
Il est souvent difficile de savoir si les mots de passe ont également été volés. En cas d'indices de vol, le mot de passe doit être réinitialisé sans faute, même si une authentification renforcée est utilisée pour la connexion, par exemple au moyen d'un deuxième facteur. Le fait que les mots de passe soient cryptés ou non ne joue qu'un rôle mineur. Dans le cas de mots de passe cryptés, il faut partir du principe qu'ils peuvent être décryptés ; par conséquent, ces mots de passe doivent également être renouvelés.
Moyens de paiement :
Si l'on ne sait pas si nos moyens de paiement ont également été compromis, il convient de les surveiller de plus près. S'il y a des signes d'abus, le moyen de paiement doit être immédiatement bloqué auprès du fournisseur.
Une prudence accrue :
Dans le cas de Facebook, des signes indiquent déjà que les données sont utilisées à mauvais escient ; par exemple, des SMS sont envoyés avec des liens qui, lorsqu'on clique dessus, téléchargent des logiciels malveillants. Les personnes concernées doivent être particulièrement méfiantes, notamment à l'égard des e-mails et des SMS provenant d'expéditeurs inconnus.
28 septembre: International Day for Universal Access to Information
28.09.2020 - La Journée internationale pour l’accès universel à l’information ou International Day for Universal Access to Information (IDUAI) a lieu aujourd’hui 28 septembre.
L'IDUAI a été créée en novembre 2015 par la Conférence générale de l'UNESCO et a été officiellement reconnue par l'Assemblée générale des Nations unies en octobre 2019.
Dispositions sur le traitement des données dans la nouvelle loi sur la police douanière insuffisantes
11.09.2020 - Sous l'acronyme « loi fédérale sur les tâches d'exécution de l’OFDF », le Conseil fédéral a ouvert aujourd'hui la procédure de consultation sur un paquet législatif avec lequel il entend créer la base légale du programme de numérisation et de transformation (DaziT) de l'Administration fédérale des douanes. DaziT est un grand projet financièrement important et sensible pour la protection des données. Il prévoit notamment le transfert de l'actuelle Administration douanière et du Corps des gardes-frontières intégré à celle-ci vers un office de police douanière nouvellement créé, « l’Office fédéral de la douane et de la sécurité des frontières » (OFDF). L'ensemble du personnel de cet office sera doté de pouvoirs de police et donc de la compétence pour collecter des données de manière contraignante.
Lors de la consultation des offices, le Préposé fédéral à la protection des données et à la transparence (PFPDT) a fait remarquer en vain à l'Administration fédérale des douanes que, selon lui, les dispositions prévues en matière de traitement des données personnelles présentent de graves lacunes. En particulier, ils manquent la certitude requise par la loi sur la protection des données, qui permettrait à la population d'évaluer le traitement étatique des données qui empiète sur leur vie privée et leur autodétermination, ainsi que les droits de protection dont ils disposent à cet égard.
Le Préposé a conseillé au Conseil fédéral que le Gouvernement et le Parlement, en tant qu'organes politiques de la Confédération, se réservent le droit de régler les principales caractéristiques du nouveau traitement des données à effectuer dans un système d’information unique de police douanière et les interfaces avec ce système. Dans sa forme actuelle, le projet de loi laisse au nouvel office de police douanière le soin de procéder au traitement des données personnelles dans son système, qui repose sur un grand nombre de tâches administratives, fiscales, policières et pénales, selon des règles largement autonomes et de relier les informations en fonction des besoins. Le rapport explicatif ne contient pas de justification convaincante de la nécessité de cette dérogation drastique à la législation douanière actuelle.
Ces lacunes juridiques dans le traitement des données sont aggravées par des lacunes factuelles dans les règlements. Par exemple, le concept «d'analyse de risque», qui est mentionné 44 fois, court comme un fil rouge à travers le projet de loi, sans que celui-ci ne précise suffisamment en quoi consiste ce mode de traitement, dans le cadre duquel le nouvel office de police douanière doit traiter des données personnelles sensibles concernant, entre autres, la sphère intime ou les opinions religieuses, idéologiques et politiques.
Sur la base de ces indications, le Conseil fédéral a chargé l'administration de réviser les dispositions relatives au traitement des données, ce qui est insinué dans les documents de la consultation. Le Préposé s'en félicite. Cependant, il a fait valoir en vain que la révision aurait dû être faite avant l'ouverture de la procédure de consultation.
Révision de la LAMal: PFPDT pour la transparence dans les modèles de prix
20.08.2020 - Le Préposé ne souscrit pas au projet du Conseil fédéral visant à exclure de la Loi sur la transparence les documents concernant les modèles de prix dans les médicaments.
Le Conseil fédéral a ouvert hier une consultation relative à une révision partielle de la loi sur l'assurance-maladie LAMal. Elle propose, entre autres, une exception restreignant l'accès aux documents en lien avec les modèles de prix et les remboursements dans le cadre de l'assurance obligatoire des soins. L'instauration d'une disposition spéciale garantissant le secret dans la LAMal va à l'encontre du principe de transparence, raison pour laquelle le Préposé s'est déjà prononcé contre ce projet au cours de la consultation des offices.
Dans ce contexte, le PFPDT considère qu'il est indispensable que le public conserve la possibilité de vérifier et de contrôler la procédure d'approbation des prix.
20.04.2020 - L’Association Libra informe qu’elle a soumis une demande d'autorisation à la FINMA et intensifie les travaux sur le concept de protection des données.
Le 16 avril 2020, l'Association Libra a informé le PFPDT qu'elle avait déposé auprès de la FINMA une demande d'autorisation en tant que système de paiement (cf. les informations publiées par la FINMA). Elle a également communiqué au PFPDT que les travaux sur le concept de protection des données étaient en cours et s'étaient intensifiés.
19.09.2019 - À l’occasion d’une rencontre à Berne avec le PFPDT, la Libra Association a réitéré son engagement à développer un standard de protection des données uniforme pour le système. L’association impliquera rapidement le PFPDT dans ses travaux de développement en cours afin de respecter dès le départ les exigences de protection de données.
Après que la Libra Association a remis dans les délais des informations complémentaires sur le projet Libra, une rencontre personnelle a eu lieu à Berne le 17 septembre 2019 entre le PFPDT et les représentants de la Libra Association.
La Libra Association a réitéré son engagement à développer un standard de protection des données uniforme pour le système. Ceci correspond aux attentes du PFPDT, qui veut assurer un haut niveau de protection des données personnelles des utilisatrices et utilisateurs.
La Libra Association impliquera rapidement le PFPDT dans ses travaux de développement en cours afin de respecter dès le départ les exigences de protection de données (privacy by design). Elle procédera à une analyse d’impact et prendra les mesures nécessaires à la mise en place du standard uniforme de protection des données, y compris des mesures organisationnelles comme la création d’un service responsable de la protection de données.
3e mise à jour concernant le projet Libra
23.08.2019 - L’Association Libra a, dans le délai imparti, fait parvenir au PFPDT la première partie des documents demandés. D'autres documents et explications suivront dans les semaines à venir.
Ces informations serviront de base à l'examen par le PFPDT de sa compétence ainsi qu’à la planification de ses activités futures. Le PFPDT informera le public en temps utile du résultat de son examen et des mesures prises le cas échéant.
Le PFPDT participera à une réunion prochaine avec le U.S. House Committee on Financial Services et informera personnellement sur l'état actuel de la procédure en cours.
2e mise à jour concernant le projet Libra
06./08.08.2019 - Les autorités britanniques et d'autres autorités de protection des données ont publié une déclaration commune demandant aux promoteurs de Libra de faire preuve d'une plus grande transparence concernant le projet. Le PFPDT est en contact avec le Comité Européen de la Protection des Données (CEPD) et la Conférence Internationale des Commissaires à la Protection des Données et de la Vie Privée (ICDPPC).
Le PFPDT, comme toutes les autres autorités de protection des données, est concerné par le projet Libra et son réseau mondial et souhaite soutenir la communauté mondiale des autorités de protection des données dans leurs efforts conjoints pour protéger la population. Il est donc en contact avec le CEPD et l'ICDPPC.
Par ailleurs, le PFPDT, en tant qu'autorité de protection des données au siège suisse de Libra Association à Genève, doit remplir ses tâches légales. A ce titre, le PFPDT a engagé une procédure officielle pour clarifier sa compétence à l'égard de l'Association basée à Genève. Cette dernière a maintenant désigné un cabinet d'avocats suisse et a accepté de fournir des informations plus détaillées sur le projet, comme l'a demandé le PFPDT dans sa lettre du 17 juillet 2019. Le PFPDT analysera d'abord ces informations assurées afin d'évaluer dans quelle mesure ses compétences de conseil et de surveillance s'appliquent. Ce n'est qu'alors qu'il pourra se joindre à toute déclaration ou prendre position sur le projet Libra et son réseau dans son ensemble.
29.07.2019 - L'Association Libra a répondu à la lettre du PFPDT du 17 juillet 2019 et a promis une réponse rapide. Elle rencontrera le PFPDT dans les prochaines semaines pour s'entretenir avec lui. Le PFPDT informera le public des prochaines étapes dès qu'il aura analysé l'information promise et obtenu un aperçu de l'état actuel du projet.
10.03.2020 - Les autorités policières fédérales n'utilisent pas de logiciel de reconnaissance faciale.
Dans sa communication du 11.02.2020 (voir ci-dessous), le PFPDT a expliqué en détail pourquoi il considère que la collection de données faciales sans le consentement des intéressés constitue une atteinte à leur personnalité.
En réponse à notre enquête (voir ci-dessous), les directions de Fedpol, de l’AFD et du SRC ont confirmé qu'elles n'utilisent ni n'ont l'intention d'utiliser un logiciel tel que Clearview dans leurs activités. Toutefois, Clearview n'a pas encore répondu à la demande de renseignement et de suppression du Préposé datée du 24 janvier 2020, raison pour laquelle il a adressé un avertissement à l'entreprise.
Collecter des données faciales sans le consentement des intéressés constitue une atteinte à leur personnalité
11.02.2020 - En complément de sa déclaration concernant l’application Clearview, le PFPDT précise sa position quant à la collecte massive et au traitement de données faciales disponibles en ligne.
Même si les données faciales ne sont pas en soi des données sensibles au sens de l’art. 3, let. c, de la loi fédérale sur la protection des données (LPD), la collecte massive de données faciales disponibles en ligne constitue une atteinte à la personnalité au sens de l’art. 12, al. 2, let. a, LPD si elles font l’objet d’un traitement qui contrevient aux principes énoncés aux art. 4, 5, al. 1, et 7, al. 1, LPD. Ainsi, collecter massivement et sans le consentement des intéressés des données faciales et les traiter à des fins qui n’ont pas été communiquées lors de cette collecte, qui ne ressortent pas des circonstances et qui ne sont pas non plus prévues par la loi, est contraire aux principes de la transparence, de la proportionnalité et de la finalité.
Ces principes s’appliquent à tous les traitements de données qui concernent des personnes en Suisse, que les données aient été collectées sans leur consentement en Suisse ou non, manuellement ou de manière automatisée.
Télécharger des données faciales sans le consentement des intéressés est difficilement justifiable
Si une personne confie ses données faciales à un réseau social qui interdit dans ses conditions d’utilisation toute forme de collecte automatisée des données ou crawling, on peut en déduire que cette personne interdit elle aussi formellement tout traitement de ses données par un tiers. En conséquence, tout téléchargement de données faciales effectué sans le consentement des intéressés par un tiers depuis ce réseau social doit être considéré comme constituant une atteinte illicite à la personnalité si leur traitement n’est pas justifié par un intérêt prépondérant privé ou public ou par la loi, conformément à l’art. 13 LPD. Il devrait être difficile dans la pratique de faire valoir un tel motif justificatif.
Pas de comparaison d’images faciales sans le consentement des intéressés
Selon l’art. 13, al. 1, LPD, il n’y a pas en règle générale d’atteinte à la personnalité lorsque les intéressés ont rendu leurs données accessibles à tout un chacun et qu’ils n’ont pas formellement interdit leur traitement. Tel n’est cependant pas le cas lorsque, comme cela a été indiqué ci-dessus, les données faciales des intéressés sont comparées au mépris du principe de la transparence avec des données collectées sans leur consentement sur un réseau social ou un site internet. Aussi le Préposé recommande-t-il de s’abstenir de procéder à des comparaisons d’images faciales sans s’être assuré du consentement des intéressés.
Constituer une base centralisée de données biométriques et mettre celle-ci à la disposition notamment des autorités de poursuite pénale pour leur permettre de procéder à des comparaisons, contrevient gravement au principe de la transparence parce que ce type de traitement va bien au-delà de ce que permet normalement un moteur de recherche et que les personnes dont les images faciales sont ainsi utilisées sans leur consentement ne peuvent se douter que leurs données font l’objet d’un pareil détournement de finalité.
Les responsables du traitement des données et les opérateurs de réseaux sociaux doivent prendre leurs responsabilités
Si un réseau social veut délibérément communiquer à un tiers des données faciales, cette communication doit être conforme et aux paramètres de confidentialité sélectionnés par les intéressés et aux conditions d’utilisation. Si ces données sont collectées par un tiers sans que le réseau social ait donné son accord, cela constitue une fuite incontrôlable de données (data breach), dont doivent répondre non seulement les responsables du traitement des données, mais aussi les opérateurs de réseaux sociaux vis-à-vis de leurs utilisateurs. Enfin, si ces données sont collectées ou communiquées à un tiers par un utilisateur du réseau social, cela constitue une violation des conditions d’utilisation, dont doivent répondre et l’utilisateur et l’opérateur du réseau social concerné.
Conclusion : collecter des données faciales sans le consentement des intéressés en vue de les traiter au moyen de technologies automatisées de reconnaissance faciale ne saurait s’accorder dans la pratique avec les principes établis par la LPD pour le traitement des données. Aussi de tels traitements doivent-ils en règle générale, soit reposer sur une base légale conforme à la Constitution s’ils sont le fait d’une autorité publique, soit avoir été consentis par les intéressés s’ils sont effectués par une personne privée.
Que fait le Préposé ?
Au-delà des investigations concrètes qu’il a menées dans l’affaire Clearview (voir sa déclaration du 21.01.2020 ci-dessous), le Préposé fera usage de tous les moyens que lui confère la loi pour protéger la population suisse contre le téléchargement non consenti d’image faciales. Il continuera par ailleurs de tout mettre en œuvre pour que la population suisse puisse se déplacer en tout anonymat dans l’espace public, que ce soit à pied ou de toute autre manière.
Déclaration du PFPDT concernant l’application Clearview
21.01.2020 - Le PFPDT a pris connaissance de l’article du New York Times du 18 janvier 2020 consacré à l’application privée Clearview et se prononce comme suit sur celle-ci:
Des données faciales librement accessibles sur Internet permettent, par recoupement avec des données personnelles, telles que des noms, des lieux ou des adresses, de remonter à des milliards de personnes dans le monde entier.
Au vu des risques qu’ils encourent du point de vue de la protection de leur sphère privée, le PFPDT recommande à tous les utilisateurs des réseaux sociaux de paramétrer leur compte de sorte à empêcher que des moteurs de recherche puissent accéder à leurs photos.
Le PFPDT estime que le fournisseur de Clearview, en collectant des données faciales, viole la sphère privée des personnes concernées en Suisse et qu’il ne respecte pas les conditions d’utilisation des réseaux sociaux.
Dans ce contexte, le PFPDT recommande aux particuliers et aux autorités en Suisse de ne pas traiter de données collectées au moyen de Clearview. Il entreprendra les démarches nécessaires auprès des autorités de poursuite pénale de la Confédération.
Le PFPDT demandera à Clearview des renseignements sur les données collectées et la destruction de celles-ci, en lieu et place des personnes concernées en Suisse. Il informera le public de la manière dont Clearview donnera suite à sa requête.
Nos recommandations à l’usage des utilisateurs de réseaux sociaux:
Facebook lance de nouvelles fonctionnalités à l’occasion des élections fédérales
17.10.2019 - A partir du 19 octobre 2019, un jour avant les élections, Facebook lancera sur sa plateforme de nouvelles fonctionnalités pour les électeurs suisses. L’entreprise l’a confirmé au Préposé fédéral à la protection des données et à la transparence (PFPDT), lequel se félicite des efforts de celle-ci en matière de transparence.
Ayant appris par les médias que Facebook avait l’intention de lancer différentes fonctionnalités, tel un bouton de vote, pour ses utilisateurs en vue des élections fédérales de 2019, le PFPDT a invité l’entreprise à prendre position.
Le PFPDT a rappelé dans sa lettre qu’en vertu notamment des ch. 5.3 et 7 de son guide, les opérateurs de réseaux sociaux sont également tenus d’informer les personnes concernées de manière juste et complète sur le traitement de leurs données et le fonctionnement des méthodes d’analyse utilisées. Cette transparence est indispensable pour que les électeurs puissent évaluer la manière dont les applications traitent leurs données et exercent une influence sur la formation de leur opinion ou leur comportement électoral.
Facebook Ireland Ltd. a confirmé que les fonctionnalités pertinentes seraient mises en service sur leur plateforme le jour précédant les élections et le jour de celles-ci. Facebook prévoit de rappeler la date de l'élection à tous les utilisateurs de Facebook âgés de 18 ans et plus en Suisse. L’entreprise ne ciblera pas des groupes ou des personnes en particulier.
Selon les garanties données par Facebook par écrit, les fonctionnalités offertes n’ont pas d’autre but que de sensibiliser ses utilisateurs aux élections et, en fin de compte, d’augmenter la participation, car les utilisateurs pourront par exemple poster dans leur profil qu’ils ont voté. Facebook souligne que les opinions politiques des utilisateurs ne seront pas traitées.
Différend fiscal américain - Le Tribunal administratif fédéral protège les droits fondamentaux
10.09.2019 - Par jugement du 3 septembre 2019, le Tribunal administratif fédéral (TAF) a admis le recours du PFPDT contre la décision de l'Administration fédérale des contributions (AFC) et le Département fédéral des finances (DFF). Dans son arrêt, la Cour conclut que dans le domaine de l'assistance fiscale internationale, les personnes qui ne sont pas formellement concernées par la demande d'assistance administrative doivent en principe être informées à l'avance de la transmission de leur nom, conformément à la loi sur l'assistance fiscale.
Le tribunal suit donc la recommandation du PFPDT de caviarder ces noms et d'accorder le droit d'être entendu avant la transmission des données. Le Préposé se réjouit de ce jugement, car il protège les droits fondamentaux des employés des banques et d'autres tiers. Il s'attend maintenant à ce que l’AFC trouve des solutions conformes à la protection des données.
Le TAF ordonne aux autorités compétentes d'exécuter le jugement et de régler les exceptions de manière appropriée. L’arrêt n'est pas encore entré en force.
Différend fiscal américain - plainte contre la décision du Département fédéral des finances
10.10.2018 - Le 5 octobre 2018, le Préposé fédéral à la protection des données et à la transparence (PFPDT) a introduit un recours devant le Tribunal administratif fédéral contre la décision du Département fédéral des finances (DFF) du 20 septembre 2018. Par cette décision, le DFF a rejeté la demande du PFPDT visant à ce que l'Administration fédérale des contributions informe les tiers concernés par un transfert de données à l'étranger avant le transfert dans le cadre de la loi sur l’assistance administrative fiscale. Dans sa plainte, le PFPDT maintient sa demande concernant le droit à l'information.
Informations complémentaires:
Mise à jour sur le différend fiscal américain du 9 août 2018 (v. en bas)
09.08.2018 - En raison de l'attente de la décision du département responsable, il existe actuellement une incertitude quant à la pratique effective de la transmission de données par l'Administration fédérale des contributions (AFC).
Dans sa procédure d’établissement des faits auprès de l’Administration fédérale des contributions (AFC), au sujet de la transmission de données dans le cadre de l’assistance administrative en matière fiscale entre la Suisse et les États-Unis, le PFPDT est arrivé à la conclusion que, dans le cadre de l’assistance administrative internationale en matière fiscale, les personnes qui ne sont pas formellement visées par les demandes d’assistance et dont le nom doit être transmis ouvertement doivent être informées au préalable, conformément à l’art. 14, al. 2 de la loi sur l’assistance administrative fiscale. En conséquence, le 18 décembre 2017, dans une recommandation formelle, nous avons demandé que le droit à l'information soit pris en compte dans l'assistance administrative fiscale internationale.
Le 18 janvier 2018, l’AFC a rejeté notre recommandation, et nous avons donc soumis l’affaire le 13 février 2018 au Département fédéral des finances (DFF) pour décision. Une telle décision n’a pas encore été prise. Dès connaissance de la position du DFF nous pourrons décider d'un éventuel recours devant le Tribunal administratif fédéral. Le PFPDT a demandé au département responsable de rendre rapidement une décision dans l'intérêt des personnes concernées.
Postfinance : inégalité de traitement des clients suisses en vertu du droit en vigueur
30.08.2019 - Postfinance SA a confirmé par courrier le 13 juin 2019 que, pour ne pas être soumis à l’authentification par empreinte vocale, ses clients suisses devraient continuer de lui signifier expressément leur refus. Les clients étrangers doivent quant à eux donner expressément leur accord pour y être soumis. L’inégalité de traitement sur laquelle le PFPDT a attiré l’attention lors de l’émission de la SRF 10vor10 du 20 mai 2019 a dès lors encore cours aujourd’hui.
Postfinance SA a répondu au PFPDT que cette différence de traitement s’expliquait par le fait que les clients suisses n’étaient pas soumis au même droit que les clients étrangers et que seul le législateur pouvait décider de reprendre des normes étrangères en droit interne. Postfinance SA a affirmé qu’elle continuerait de traiter les clients suisses différemment aussi longtemps que le droit suisse de la protection des données n’aura pas été aligné sur les normes de l’UE.
26e Rapport annuel 2018/19: la Suisse doit maintenir son niveau de protection des données
18.06.2019 - Le PFPDT attend que le Conseil fédéral et le Parlement garantissent à la popula-tion suisse un niveau de protection des données toujours équivalent à celui de l’Europe par la signature prochaine de la convention 108 du Conseil de l’Europe et l’adoption rapide de la révision totale de la loi sur la protection des données.
15.05.2019 - La décision du 19 mars 2019 du Tribunal administratif fédéral dans l’affaire Helsana+ n’a pas été attaquée pendant le délai de recours. Elle est donc définitive. Le Tribunal administratif fédéral s’est prononcé sur des questions de droit importantes. Le PFPDT suivra leur mise en œuvre par Helsana.
Helsana+: la collecte de données auprès de l'assurance de base était illégale
29.03.2019 - Arrêt du Tribunal administratif fédéral du 19 mars 2019: Helsana Assurances complémentaires SA a traité illégalement des données personnelles provenant des assurances de base pour son programme de bonus Helsana+. Selon l’arrêt du tribunal, les autres traitements de données sont licites, puisqu’ils ne violent aucune disposition protégeant la personnalité.
Le Préposé fédéral à la protection des données a émis une recommandation concernant le programme de bonus «Helsana+»
27.4.2018 – L’application « Helsana+ » traite les données des clients qui ne disposent que de l’assurance de base auprès du groupe Helsana à des fins de remboursement partiel de leurs primes. Faute de base légale, le Préposé a recommandé de cesser ce traitement.
12.10.2017 - Le PFPDT a pris connaissance du nouveau programme de bonus «Helsana +», dont l'objectif est d'encourager les assurés à mener une vie plus saine. Le programme a été lancé le 25 septembre 2017. Pour vérifier la conformité des traitements de données à cet égard, le PFPDT a ouvert une procédure d'établissement des faits le 11 octobre. L'une des questions se posant avec ce programme est celle de savoir si des données émanant de l'assurance de base sont traitées.
2e Journée du digital – Les entreprises doivent investir dans des technologies conformes aux exigences de la protection des données
23.10.2018 - Les entreprises doivent investir dans des technologies favorables au respect de la vie privée et proposer un véritable choix à leurs clients. Tel est le souhait du Préposé fédéral à la protection des données et à la transparence, à l’occasion de la 2e Journée suisse du digital. Il appelle les entreprises à mettre leur force d’innovation également au service de l’autodétermination de leurs clients.
Si les entreprises investissent énormément de capitaux dans la numérisation, il serait souhaitable, pour le Préposé fédéral à la protection des données et à la transparence Adrian Lobsiger, à l’occasion de la 2e Journée suisse du digital, qu’elles exploitent leur force d’innovation également aux fins d’assurer l’autodétermination à leurs clients. Ceux-ci doivent pouvoir décider eux-mêmes dans quel but leurs données peuvent être transmises et dans quel cas elles doivent rester confidentielles. Les entreprises doivent donc investir dans des technologies qui permettent de proposer un vrai choix aux utilisateurs.
Le PFPDT attend d’un État de droit démocratique qui collecte des données en grandes quantités qu’il garantisse la sphère privée et l’anonymat de ses citoyens et ne cherche pas à les identifier. En cas de doute, la liberté de l’individu doit l’emporter sur davantage de sécurité pour tous.
Ainsi, le Préposé fédéral à la protection des données et à la transparence appelle les entreprises et les pouvoirs publics à prendre acte de ces attentes pour des technologies respectueuses de la vie privée et à agir en conséquence. Il les invite à accompagner la croissance des données numériques à l’échelle mondiale d’investissements performants dans une structure assurant la conformité aux exigences de la protection des données.
25e Rapport annuel 2017/2018: l'autodétermination avant la sécurité
25.06.2018 - Le suivi des grands projets numériques demeure au cœur de l’activité du PFPDT. La loi e-ID fondant l’utilisation d’une SwissID, le rapport d’évaluation des risques liés à l’utilisation du numéro AVS comme identifiant personnel universel, les conditions d’utilisation de la billetterie électronique (billettique) ou des applications dans le domaine des transports publics illustrent cette priorité. En qualité d’autorité de surveillance, le PFPDT a dû intervenir contre le traitement de données relevant de l’assurance de base des caisses-maladie et faire face à des fuites de données dans plusieurs grandes entreprises.
Dans le domaine de la transparence, le PFPDT a été en mesure d’améliorer significativement l’efficacité de la procédure de médiation et a pris acte de la volonté unanime du Conseil national de garantir la transparence des marchés publics à l’avenir aussi, et de veiller ainsi à ce que le principe de la transparence ne soit pas foulé aux pieds.
Le Conseil national insiste sur la transparence dans les marchés publics
18.06.2018 - Le Conseil national a tenu à l’unanimité à maintenir les marchés publics dans le champ d’application du principe de la transparence. Cette décision s’est esquissée la dernière semaine de la session d’été lors de la discussion par article de la révision totale de la loi fédérale sur les marchés publics (LMP). Le Conseil national a ainsi refusé la limitation du principe de la transparence proposée dans le projet du Conseil fédéral.
Infrastructure ferroviaire: le parlement
décide l’exception à la loi sur la transparence
30.05.2018 - Après le Conseil national aussi le Conseil des États veut l’exclusion de l’activité de surveillance de l’Office fédéral des transports (OFT) en matière de sécurité de la loi sur la transparence et rejoint la position du Conseil fédéral. Le PFPDT prend note de cette décision.
Decathlon Suisse – le PFPDT ouvre une procédure d’établissement des faits
07.05.2018 - Le PFPDT a noté que Decathlon Suisse exige pour tout achat de marchandises dans ses magasins que les clients communiquent certaines coordonnées. Suite à un premier échange de correspondance avec Decathlon Suisse, il est arrivé à la conclusion que le traitement de données par Decathlon nécessite un éclaircissement approfondi sur certains points. C’est pourquoi il a, en date du 3 mai 2018, ouvert une procédure d’établissement des faits selon l’art. 29 LPD.
Affaire Facebook/Cambridge Analytica: procédures en cours dans l'UE et aux USA
12.04.2018 - Dans le cadre de l'application "This is your digital life" utilisée par un scientifique anglais, l'accès non autorisé aux données personnelles de clients peu méfiants de la plate-forme sociale Facebook s'est produit en 2015. Les données ont été traitées par Cambridge Analytica à l'approche des élections dans le but de ce que l'on appelle le microciblage afin de s'adresser spécifiquement aux électeurs potentiels avec des messages individuels.
Rapport d'évaluation essai pilote procédure de médiation (2017)
10.04.2018 - Afin d’accélérer la procédure de médiation et de réduire le nombre de cas pendants, le PFPDT a mené un essai pilote au cours de l’année 2017. Le rapport d’évaluation montre que les mesures prises ont permis d’atteindre les objectifs fixés et que cet essai pilote a par conséquent été un succès. Au vu des résultats positifs, la nouvelle méthode sera intégrée dans la gestion ordinaire des procédures.
Sélection des arbitres pour le forum d'arbitrage en matière de protection des données selon le Swiss-US Privacy Shield - Premier appel à manifestation d'intérêt
La Commission du CN veut continuer à garantir la transparence dans le cadre des marchés publics
28.03.2018 - La Commission de l’économie et des redevances du Conseil national (CER-N) a, le 27 mars 2018, clôt la discussion par article de la révision totale de la loi fédérale sur les marchés publics (LMP). Elle rejette la proposition du Conseil fédéral, qui prévoyait de supprimer l’accès aux documents relatifs aux marchés publics, tel que garanti par la loi sur la transparence. Avec cela, elle renforce l’objectif de transparence tel que prévu dans le projet de révision
12.02.2018 - Après avoir été informé le 9 février 2018 d'un cas d'accès prétendument non autorisé aux données d'un client de Swisscom, le PFPDT a requis que Swisscom prenne position le jour-même, en application de l'article 29 alinéa 2 LPD.
Les premières enquêtes de Swisscom n'ont pas confirmé de lien de causalité avec le vol de données signalé le 7 février 2018. Le PFPDT recherche des informations complémentaires auprès de Swisscom en ce qui concerne le risque de dommages indirects éventuels.
Accès indu à des coordonnées de clients chez Swisscom
Berne, 07.02.2018 – Swisscom a informé le PFPDT que des accès indus aux coordonnées d’environ 800‘000 clients ont eu lieu au cours de l’automne 2017. A sa connaissance, sont essentiellement concernés : le nom, le prénom, l’adresse, la date de naissance et le numéro de téléphone de titulaires privés de téléphones portables ainsi que de quelques abonnés au réseau fixe.
Infrastructure ferroviaire: la Commission du Conseil national veut une exception à la loi sur la transparence
Berne, 18.01.2018 – La Commission des transports et des télécommunications du Conseil national a, le 16 janvier 2018, repris la discussion par article du projet «Organisation de l’infrastructure ferroviaire». Dans ce cadre, la Commission a rejoint la position du Conseil fédéral et s’est exprimée en faveur d’une exclusion de l’activité de surveillance de l’Office fédéral des transports (OFT) en matière de sécurité de la loi sur la transparence. Le PFPDT prend note de cette décision.
Fuite de données dans une société de recouvrement de créances – le PFPDT ouvre une procédure
05.01.2018 - Selon un article publié dans le Süddeutsche Zeitung du 27 décembre 2017, l'entreprise de recouvrement EOS a été victime d'une fuite de données l'année dernière, au cours de laquelle plusieurs gigaoctets de données personnelles ont été transmises. Selon cet article, les patients de médecins suisses ont été particulièrement affectés. L'agence de recouvrement a informé le PFPDT de la fuite de données présumée peu avant la publication de l'article concerné. Afin de clarifier les aspects relatifs à la protection des données, le PFPDT a ouvert, en date du 28 décembre 2017, une procédure d’établissement des faits à l’encontre d’EOS Suisse.
En même temps, il rappelle aux médecins qu'ils ne peuvent transmettre à des tiers que les données de leurs patients qui sont effectivement nécessaires à la facturation ou au recouvrement. S'ils transmettent de manière injustifiée des données médicales de leurs patients à des tiers, ils sont punissables.
La protection des données lors des campagnes politiques
19.10.2017 - Lors d'élections et de votations, les acteurs politiques recourent de plus en plus à des instruments numériques pour transmettre de manière plus ciblée leurs messages aux citoyens. Dans ce cadre, les partis politiques ainsi que les associations doivent préserver la vie privée des personnes concernées et respecter leur droit à l'autodétermination informationnelle. Le présent feuillet thématique du PFPDT expose les différentes règles de protection des données devant être respectées en cas d'utilisation de tels outils lors de votations et d'élections.
Utilisation du numéro AVS comme identifiant personnel: évaluation des risques
03.10.2017 - Afin d'approfondir davantage les risques spécifiques aux identificateurs, l'Office fédéral de la justice (OFJ) et le PFPDT ont conjointement donné un mandat externe en vue d'une évaluation des risques. Celle-ci devait préciser en particulier si des risques - et, le cas échéant, quel type de risques - peuvent survenir lors de l'utilisation du numéro AVS et d'identificateurs alternatifs. L'étude, menée par Monsieur David Basin, professeur de sécurité de l'information à l'EPF de Zurich, est maintenant accessible en ligne.
Le mandat d'effectuer une analyse des risques résulte du fait que, par le passé, le Parlement s'est trouvé confronté à plusieurs reprises à la question de l'utilisation du numéro AHV en tant qu'identifiant de personne en dehors du domaine de l'assurance sociale. Ce fut le cas dernièrement dans le cadre du projet de révision du registre foncier (14.034 CC. Enregistrement de l'état civil et registre foncier). La Commission des affaires juridiques du Conseil national procédera de nouveau à son examen à la fin d'octobre 2017. Auparavant, le 1er février 2017, le Conseil fédéral a donné le mandat d'élaborer un projet de loi dont l'objectif est de faciliter l'utilisation du numéro AVS par toutes les collectivités fédérales, cantonales et communales également en dehors du domaine des assurances sociales.
Externalisation de la facturation dans le domaine médical: les prestataires veulent mieux informer les patients
01.09.2017 - Le PFPDT a écrit à la mi-août 2017 à deux entreprises qui assurent les opérations de facturation pour le compte de médecins afin de leur demander de faire un effort de transparence à l'égard de leurs patients, qui ne savaient pas toujours de quelle manière étaient traitées les données les concernant et si elles étaient transmises à des tiers. Ces deux entreprises, soit la Caisse des médecins et Swisscom Health, se sont déclarées disposées à mieux informer leurs patients, en publiant sur leur site Internet les règlements et autres éléments de contrat applicables aux différentes prestations concernées. Les deux entreprises soumettront prochainement au PFPDT les mesures qu'elles se proposent de mettre en œuvre pour atteindre cet objectif.
Externalisation dans le domaine médical: le Préposé exige plus de transparence
17.08.2017 - Dans le domaine de la santé, beaucoup de médecins confient la facturation des prestations à des sociétés spécialisées, comme la Caisse des Médecins ou Swisscom Health. Pour garantir la protection de la sphère privée, il est important que ces sociétés ne traitent les données des patients qu’aux fins prévues. Elles sont en outre tenues d’expliquer clairement ce qu’il advient des données transmises par les médecins.
À cet égard, le Préposé a constaté que la situation actuelle devait être améliorée. Pour renforcer la transparence pour les patients, il a demandé cette semaine aux sociétés de facturation de publier, conjointement avec les conditions générales et les règlements de traitement, les clauses-types concernant le traitement des données. En effet, ces clauses n’étaient jusqu’à présent que partiellement, voire pas du tout, publiées. Le Préposé se réserve d’examiner ultérieurement les clauses qui pourraient être problématiques du point de vue de la protection des données.
26.06.2017 - Le préposé fédéral à la protection des données et à la transparence présente son rapport d'activités pour la période du 1er avril 2016 au 31 mars 2017.
Sociétés d’informations sur la solvabilité: le Tribunal administratif fédéral protège la sphère privée des personnes concernées
11.05.2017 - Dans le cadre de la procédure engagée contre la société d'informations sur la solvabilité Moneyhouse, le Tribunal administratif fédéral a rendu une décision déterminante dans le contexte actuel de la numérisation, en imposant des limites claires à la mise en relation d'informations permettant l'établissement de profils ainsi qu'à leur publication.
